Nicht authentifizierte RPC-Clients einschränken

Zweck

Registry-Schlüssel anzeigen (1)

• HKLM\Software\Policies\Microsoft\Windows NT\Rpc\RestrictRemoteClients

Der REG_DWORD-Wert steuert systemweit, ob die RPC-Serverlaufzeit zusätzliche Authentifizierungsprüfungen für eingehende Remoteaufrufe durchführt. Die Prüfung gilt auch für RPC-Schnittstellen, die keinen eigenen Sicherheitsrückruf registriert haben.

Die Wertdaten haben folgende Bedeutung:

• 0 (RPC_RESTRICT_REMOTE_CLIENT_NONE): Die RPC-Serverlaufzeit führt diese zusätzliche Prüfung nicht durch. RPC-Anwendungen können weiterhin eigene Authentifizierungs- und Autorisierungsprüfungen erzwingen.
• 1 (RPC_RESTRICT_REMOTE_CLIENT_DEFAULT): Nicht authentifizierte Remoteaufrufe werden grundsätzlich abgewiesen. Ausgenommen sind Aufrufe über Named Pipes (ncacn_np) und RPC-Schnittstellen, die mit RPC_IF_ALLOW_CALLBACKS_WITH_NO_AUTH ausdrücklich nicht authentifizierte Aufrufe zulassen.
• 2 (RPC_RESTRICT_REMOTE_CLIENT_HIGH): Nicht authentifizierte Remoteaufrufe werden ohne Ausnahmen abgewiesen.

Bei 1 oder 2 ist auch die RPC-Endpunktzuordnungsschnittstelle nicht mehr anonym erreichbar. Clients, die dynamische RPC-Endpunkte zunächst anonym abfragen, können deshalb bereits bei der Endpunktauflösung scheitern.

Hinweise

Sicherheit

Die Werte 1 und 2 verkleinern die anonym erreichbare RPC-Angriffsfläche. Dadurch können insbesondere Angriffe auf verwundbare RPC-Schnittstellen verhindert werden, die ohne authentifizierten Sicherheitskontext erreichbar wären.

Der Wert 1 lässt aus Kompatibilitätsgründen gezielte Ausnahmen zu. Der Wert 2 beseitigt diese Ausnahmen und bietet daher die strengere Einschränkung, kann jedoch wesentlich mehr RPC-basierte Funktionen unterbrechen. Die Einstellung ersetzt nicht die anwendungsspezifische Autorisierung authentifizierter Clients.

Mögliche Nebenwirkungen

Die Einschränkung betrifft alle RPC-Anwendungen auf dem Computer. Anwendungen, die anonyme Remoteaufrufe erwarten, sowie bestimmte DCOM-Funktionen können ausfallen. RPC-Aufrufe über verbindungslose Protokollsequenzen wie ncadg_ip_udp und ncadg_ipx werden bei aktivierter Einschränkung als nicht sicher behandelt und abgewiesen.

In Domänenumgebungen kann die Einstellung unter anderem die Verarbeitung von Gruppenrichtlinien und die Active-Directory-Replikation beeinträchtigen. Microsoft warnt deshalb ausdrücklich vor ihrer Anwendung auf Domänencontroller. Eine zu strenge Einstellung kann außerdem dazu führen, dass sich die Richtlinie nicht mehr regulär über die Domäne zurücknehmen lässt.

Hinweise

Änderungen an diesem Wert werden erst nach einem Systemneustart wirksam.

Ein fehlender Wert ist nicht in jeder Windows-Produktklasse gleichbedeutend mit einem expliziten Wert 0: Bei der zugehörigen Gruppenrichtlinie verwendet die RPC-Serverlaufzeit auf unterstützten Windows-Clientsystemen standardmäßig das Verhalten „Authentifiziert“, auf unterstützten Windows-Serverversionen dagegen „Keine“. Ein ausdrücklich gesetzter Registry-Wert sollte daher nicht mit dem Verhalten einer nicht konfigurierten Richtlinie gleichgesetzt werden.

Microsoft-Dokumentation

Microsoft Learn: RPC-Schnittstelleneinschränkung

Microsoft Learn: Richtlinien-CSP – RemoteProcedureCall

Siehe auch

• Eintrag in der Referenz