微软修复程序更新导致Kerberos认证问题

关键要点

微软在最近的补丁更新后，报告称Windows服务器的Kerberos认证可能出现问题。此问题会影响到一些企业环境中的多种操作，包括用户登录失败和远程桌面连接失败。受影响的设备包括企业内的域设备，但家庭用户和非域设备不受影响。微软正在努力解决此问题并预计将在未来几周内发布解决方案。

微软在周日报告称，安装了最近发布的补丁星期二更新后，安全团队在拥有域控制器角色的Windows服务器上可能会面临Kerberos认证问题。

与其他主要操作系统类似，微软使用Kerberos协议在不受信任的网络如互联网之间进行服务请求的认证。除了Microsoft Windows外，Kerberos也支持Apple macOS、FreeBSD 和 Linux。

在一篇博客文章中，微软研究人员表示，此问题可能会影响任何基于微软的Kerberos认证的企业环境。一些可能受到影响的情况包括：

影响情况描述域用户签入失败可能影响Active Directory Federation Services (AD FS)认证用于IIS Web Server的群组受管服务账户 (gMSA)可能无法进行身份验证使用域用户的远程桌面连接可能无法连接安全团队无法访问工作站共享文件夹和服务器文件可能受到影响需要域用户身份验证的打印可能失败

微软补充道，家庭用户使用的Windows设备或不属于本地域的设备不受此问题影响。此外，未进行混合的Azure Active Directory环境及没有本地Active Directory服务器的环境也不受此影响。微软正在努力处理这个问题，并预计将会在接下来的几周内发布解决方案。

根据CardinalOps的网络防御战略副总裁Phil Neray的说法，此次修复程序的安全加固变更虽然重要，但不小心破坏了某些关键的认证场景，导致登录失败和远程桌面连接失败，甚至包括最新版本的操作系统如Windows Server 2022。

“虽然这些问题不适用于未混合且没有本地Active Directory服务器的Azure Active Directory环境，但这仍然可能影响大多数组织，”Neray说道。“等待几周的修复可能会带来麻烦，不过我猜这些问题可能与复杂的代码深度相关，因此微软在时间估计上可能比较谨慎。”

Coalfire的副总裁Andrew Barratt表示，迁移到Kerberos并不完美，但打破认证协议的后果可能非常广泛。Barratt提到，虽然存在一些注册表黑客可以回退到不太强的加密方式，但这实际上是与微软初衷相反的。

加速器苹果版

“这种情况可能会在网络中导致身份验证失败或服务请求失败，并变得相当棘手，”Barratt表示。“另一个危险是，那些需要修复此问题的技术支持人员可能会在未来忽视表现出相似症状的恶意软件。”

Vulcan Cyber的高级技术工程师Mike Parkin表示，补丁有时会打破系统或引入新的漏洞，这是一个不幸的事实，而“破坏事物”似乎正是一些人在部署微软最新更新后所经历的事情。

“受影响的配置似乎有点有限，但对于在其环境中经历这一情况的组织来说，这并没有带来安慰，”Parkin表示。“希望微软能尽快解决这个问题，而不是需要整整‘几周’的时间来修复问题。”