Laden benutzerdefinierter SSPs und APs in LSASS zulassen
Dieser Registrierungswert ist der Speicherwert einer computerbezogenen ADMX-Gruppenrichtlinie.
seit 0.9.8.11
Zweck
Registry-Schlüssel anzeigen (1)
HKLM\Software\Policies\Microsoft\Windows\System\AllowCustomSSPsAPs
Dieser Registrierungswert ist der Speicherwert einer computerbezogenen ADMX-Gruppenrichtlinie. Er bestimmt, ob die lokale Sicherheitsautorität (LSA) benutzerdefinierte Sicherheitssupportanbieter (SSPs) und Authentifizierungspakete (APs) in den Prozess des Local Security Authority Subsystem Service (LSASS) laden darf.
Ein SSP kann zusätzliche Sicherheitsprotokolle sowie Dienste für authentifizierte Verbindungen, Nachrichtenintegrität oder Nachrichtenverschlüsselung bereitstellen. Ein AP ergänzt die Logik, anhand derer Windows Anmeldedaten auswertet und eine Anmeldung zulässt oder ablehnt.
Der Wert hat den Typ REG_DWORD. 1 lässt das Laden benutzerdefinierter SSPs und APs zu, während 0 es unterbindet. Ist die Richtlinie nicht konfiguriert und der Wert daher nicht vorhanden, lässt Windows das Laden ebenfalls zu.
Hinweise
Weitere Wirkungen
Die Einstellung schafft lediglich die Voraussetzung dafür, dass entsprechend registrierte SSP-/AP-DLLs in LSASS geladen werden können. Sie installiert oder registriert selbst keine Sicherheitspakete und verleiht Benutzern keine zusätzlichen Rechte.
Auch bei zugelassenem Laden müssen die betreffenden Komponenten weitere Systemanforderungen erfüllen. Wird LSASS als geschützter Prozess ausgeführt, gelten insbesondere Signatur- und Kompatibilitätsanforderungen für LSA-Plug-ins; nicht geeignete Komponenten können weiterhin abgewiesen werden.
Sicherheit
Zugelassene SSP-/AP-DLLs werden im Prozessraum von LSASS ausgeführt. Da LSASS Anmeldungen verarbeitet und lokale Sicherheitsrichtlinien durchsetzt, kann fehlerhafter oder schädlicher Code in einem solchen Paket Authentifizierungsabläufe und die von LSASS verarbeiteten sicherheitsrelevanten Daten beeinträchtigen. Das Unterbinden benutzerdefinierter Pakete reduziert daher den in LSASS ausführbaren Erweiterungscode und damit dessen Angriffsfläche.
Die Einstellung blockiert nur das Laden benutzerdefinierter SSPs und APs in LSASS. Sie deaktiviert weder LSASS noch die integrierten Windows-Authentifizierungsmechanismen und entzieht Benutzern keine allgemeinen Zugriffsrechte.
Mögliche Nebenwirkungen
Wenn das Laden unterbunden wird, funktionieren Produkte und Systemkomponenten nicht mehr, die für ihre Authentifizierungs- oder Sicherheitsfunktionen einen benutzerdefinierten SSP oder ein AP in LSASS benötigen.
Eine dokumentierte Auswirkung betrifft Windows Server 2025-Failovercluster: Der Cluster Authentication Manager arbeitet als SSP. Kann diese Komponente nicht in LSASS geladen werden, kann sich der Cluster nicht authentifizieren und der Clusterdienst startet möglicherweise nicht.
Hinweise
Diese Einstellung ist von der Richtlinie zu unterscheiden, die LSASS als geschützten Prozess ausführt. Das Zulassen benutzerdefinierter SSPs und APs setzt die Signaturprüfungen oder sonstigen Ladebeschränkungen des zusätzlichen LSA-Schutzes nicht außer Kraft.
Microsoft-Dokumentation
Microsoft Learn: Richtlinien-CSP – LocalSecurityAuthority
Microsoft Learn: Einschränkungen beim Registrieren und Installieren eines Sicherheitspakets
Microsoft Learn: Clusterdienst wird nach Anwendung von Härtungsempfehlungen nicht gestartet