Delegierung von gespeicherten Anmeldeinformationen mit reiner NTLM-Serverauthentifizierung zulassen
Diese Computerrichtlinie steuert, an welche Zielserver Anwendungen mit Credential Security Support Provider (CredSSP), beispielsweise die Remotedesktopverbindung, gespeicherte Benutzeranmeldeinformationen delegieren dürfen, wenn die Serverauthentifizierung über NTLM erfolgt ist.
seit 0.9.8.11
Zweck
Registry-Schlüssel anzeigen (3)
HKLM\Software\Policies\Microsoft\Windows\CredentialsDelegation\AllowSavedCredentialsWhenNTLMOnlyHKLM\Software\Policies\Microsoft\Windows\CredentialsDelegation\ConcatenateDefaults_AllowSavedNTLMOnlyHKLM\Software\Policies\Microsoft\Windows\CredentialsDelegation\AllowSavedCredentialsWhenNTLMOnly
Listenwerte unter dem Schlüssel
Diese Computerrichtlinie steuert, an welche Zielserver Anwendungen mit Credential Security Support Provider (CredSSP), beispielsweise die Remotedesktopverbindung, gespeicherte Benutzeranmeldeinformationen delegieren dürfen, wenn die Serverauthentifizierung über NTLM erfolgt ist. Als gespeicherte Anmeldeinformationen gelten hierbei Anmeldeinformationen, die im Windows-Anmeldeinformations-Manager gespeichert wurden.
Der Wert AllowSavedCredentialsWhenNTLMOnly aktiviert oder deaktiviert die Richtlinie. Bei aktiviertem Zustand enthalten die Zeichenfolgenwerte unter dem gleichnamigen Unterschlüssel die zulässigen Ziele in Form von Dienstprinzipalnamen (Service Principal Names, SPNs). Ein SPN bezeichnet sowohl die Dienstklasse als auch den Zielserver. Beispielsweise erfasst TERMSRV/server.example.com den Remotedesktop-Sitzungshost dieses Servers. Ein einzelnes Platzhalterzeichen ist zulässig; ein Eintrag wie TERMSRV/* erfasst daher alle Remotedesktop-Sitzungshosts.
ConcatenateDefaults_AllowSavedNTLMOnly bestimmt bei aktivierter Richtlinie, ob die ausdrücklich angegebenen SPNs mit den gegebenenfalls vorhandenen Standardzielen des Betriebssystems zusammengeführt werden. Der Wert erweitert lediglich die wirksame Zielliste und aktiviert die Delegierung nicht selbstständig.
Ist die Richtlinie deaktiviert, dürfen gespeicherte Anmeldeinformationen über diesen Richtlinienzweig an keinen Server delegiert werden. Ist sie nicht konfiguriert, erlaubt Windows die Delegierung nach geeigneter gegenseitiger Authentifizierung standardmäßig für TERMSRV/*, wenn der Client keiner Domäne angehört. Auf einem domänengebundenen Client ist sie standardmäßig für kein Ziel zulässig.
Hinweise
Sicherheit
CredSSP übergibt dem zugelassenen Zielserver die vollständigen Anmeldeinformationen des Benutzers. Es handelt sich nicht um eingeschränkte Delegierung. Ein kompromittierter Zielserver kann deshalb die an ihn delegierten Anmeldeinformationen missbrauchen. Die Verschlüsselung des Übertragungswegs schützt nicht vor einem bereits kompromittierten oder nicht vertrauenswürdigen Zielsystem.
Weit gefasste SPNs vergrößern die Zahl der Server, die gespeicherte Anmeldeinformationen erhalten können. Insbesondere Platzhaltereinträge wie TERMSRV/* beziehen sämtliche passenden Server ein und erhöhen damit die Folgen eines kompromittierten Zielsystems.
Die Richtlinie aktiviert weder NTLM noch CredSSP, authentifiziert keinen Benutzer und gewährt keinen Zugriff auf den Zielserver. Sie lässt die Delegierung nur zu, wenn eine unterstützende Anwendung CredSSP verwendet, die Serverauthentifizierung bereits über NTLM erfolgt ist und der Ziel-SPN mit der wirksamen Liste übereinstimmt. Sonstige Anmelde-, Zugriffs- und Anwendungsrichtlinien bleiben wirksam.
Mögliche Nebenwirkungen
Wenn die Richtlinie deaktiviert ist oder der Zielserver von keinem wirksamen SPN erfasst wird, können Anwendungen gespeicherte Anmeldeinformationen nicht für die betreffende CredSSP-Verbindung verwenden. Je nach Anwendung wird der Benutzer erneut zur Eingabe aufgefordert oder die Authentifizierung schlägt fehl.
Hinweise
Die Richtlinie gilt ausschließlich für den NTLM-Fall. Die Delegierung gespeicherter Anmeldeinformationen nach einer Serverauthentifizierung mit Kerberos oder einem vertrauenswürdigen X.509-Zertifikat wird durch die separate Richtlinie „Delegierung von gespeicherten Anmeldeinformationen zulassen“ gesteuert.
Eine passende Verweigerungsrichtlinie kann bestimmte Server von einer ansonsten durch Platzhalter erlaubten Delegierung ausnehmen.
Bei aktiviertem Credential Guard kann CredSSP keine gespeicherten oder für einmaliges Anmelden vorgesehenen Anmeldeinformationen verwenden. Insbesondere können vom Remotedesktopclient gespeicherte Windows-Anmeldeinformationen dann nicht an einen Remotehost gesendet werden. Diese Einschränkung wird durch die vorliegende Richtlinie nicht aufgehoben.
Microsoft-Dokumentation
Microsoft Learn: Richtlinien-CSP – ADMX_CredSsp, AllowSavedCredentialsWhenNTLMOnly
Microsoft Learn: Unterstützungsanbieter für Anmeldeinformationen (CredSSP)
Microsoft Learn: Überlegungen und bekannte Probleme bei der Verwendung von Credential Guard