Probleme mit der Kerberos-Authentifizierung auf Windows Server behoben • The Register

Microsoft führt Korrekturen für Probleme mit dem Kerberos-Netzwerkauthentifizierungsprotokoll auf Windows Server ein, nachdem es durch die Patch-Tuesday-Updates vom November beschädigt wurde.

Wie wir letzte Woche berichteten, störten Updates, die am 8. November oder später veröffentlicht wurden und auf Windows Server mit den Domänencontrolleraufgaben zur Verwaltung von Netzwerk- und Identitätssicherheitsanforderungen installiert wurden, die Kerberos-Authentifizierungsfunktionen, angefangen von Fehlern bei der Anmeldung von Domänenbenutzern bis hin zur Authentifizierung von gruppenverwalteten Dienstkonten zu Remote-Desktop-Verbindungen, die keine Verbindung herstellen.

Es gab auch andere Probleme, darunter, dass Benutzer nicht auf freigegebene Ordner auf Arbeitsstationen zugreifen konnten und Druckerverbindungen, die eine Domänenbenutzerauthentifizierung erfordern, fehlschlugen.

„Dieses Problem könnte sich auf jede Kerberos-Authentifizierung in Ihrer Umgebung auswirken“, schrieb Microsoft damals in seinem Windows Health Dashboard und fügte hinzu, dass Ingenieure versuchten, das Problem zu lösen.

Ende letzter Woche hat Microsoft Notfall-Out-of-Band-Updates (OOB) herausgegeben, die auf allen Domänencontrollern installiert werden können, und besagt, dass Benutzer keine anderen Updates installieren oder Änderungen an anderen Servern oder Client-Geräten vornehmen müssen, um das Problem zu beheben. Außerdem seien alle zur Behebung des Problems verwendeten Workarounds nicht mehr erforderlich und sollten entfernt werden, schrieb das Unternehmen.

„Sie müssen kein vorheriges Update installieren, bevor Sie diese kumulativen Updates installieren“, so Microsoft. „Wenn Sie bereits am 8. November 2022 veröffentlichte Updates installiert haben, müssen Sie die betroffenen Updates nicht deinstallieren, bevor Sie spätere Updates, einschließlich der [OOB]-Updates, installieren.“

Kerberos wird zur Authentifizierung von Dienstanfragen zwischen mehreren vertrauenswürdigen Hosts in einem nicht vertrauenswürdigen Netzwerk wie dem Internet verwendet. Dabei werden Geheimschlüssel-Kryptografie und ein vertrauenswürdiger Dritter zur Authentifizierung von Anwendungen und Benutzeridentitäten verwendet. Es wurde in den 1980er Jahren von Forschern am MIT entwickelt.

Microsoft begann mit der Verwendung von Kerberos in Windows 2000 und es ist jetzt das Standardautorisierungstool im Betriebssystem. Andere Versionen von Kerberos – das vom Kerberos-Konsortium verwaltet wird – sind für andere Betriebssysteme verfügbar, darunter Apple OS, Linux und Unix.

Der Anbieter veröffentlichte am 8. November zwei Updates zur Stärkung der Sicherheit von Kerberos – sowie Netlogon, einem weiteren Authentifizierungstool – im Zuge der zwei Schwachstellen CVE-2022-37967 und CVE-2022-37966. Diese Aktualisierungen führten zu den Authentifizierungsproblemen, die durch die neuesten Korrekturen behoben wurden.

Benutzer von Windows-Systemen, bei denen der Fehler zeitweise auftrat, wurden im Abschnitt „System“ des Ereignisprotokolls auf ihrem Domänencontroller mit der Meldung „Microsoft-Windows-Kerberos-Key-Distribution-Center-Ereignis-ID 14-Fehlerereignis“ mit folgendem Text konfrontiert: „ Beim Verarbeiten einer AS-Anfrage für den Zieldienst verfügte das Konto nicht über einen geeigneten Schlüssel zum Generieren eines Kerberos-Tickets (der fehlende Schlüssel hat die ID 1).“

Für das eigenständige Paket der OOB-Updates können Benutzer im Microsoft Update-Katalog nach der KB-Nummer suchen und die Fixes manuell in Windows Server Update Services (siehe Anweisungen hier) und Endpoint Configuration Manager (Anweisungen hier) importieren.

Microsoft hat kumulative Updates zur Installation auf Domänencontrollern veröffentlicht: Windows Server 2022 (KB5021656), Windows Server 2019 (KB5021655) und Windows Server 2016 (KB5021654). ®

Senden Sie uns Neuigkeiten