خطأ CredSSP على سطح المكتب البعيد: الميزة المطلوبة غير مدعومة

الرسائل "الوظيفة المطلوبة غير مدعومة" في سطح المكتب البعيد قد يظهر هذا مصحوبًا بإشارة إلى إصلاح ثغرة تشفير CredSSP. في هذه الحالة، يجب عليك مراجعة التحديثات وسياسات الأمان لكل من جهاز العميل والجهاز البعيد.

توصي بعض الأدلة بالتعديل المباشر AllowEncryptionOracle وتعيين القيمة 2قد يسمح هذا التغيير ببعض الاتصالات، ولكنه يُفعّل وضعًا يُسمى مُعَرَّضقبل استخدامه، حدد الخطأ وتحقق مما إذا كان بإمكانك حل مشكلة عدم التوافق عن طريق تحديث كلا الطرفين.

كيفية تحديد خطأ CredSSP في سطح المكتب البعيد

توثق مايكروسوفت سيناريو يظهر فيه اتصال RDP خطأ في المصادقة، ويشير إلى أن الوظيفة المطلوبة غير مدعومة، ويضيف مرجعًا إلى معالجة تشفير CredSSP.

تتيح لك خدمة CredSSP تفويض بيانات الاعتماد للمصادقة عن بُعد. كما تمنع خيارات التوافق الخاصة بها الاتصالات التي تعتمد على إصدارات ضعيفة من البروتوكول.

قبل تغيير أي إعدادات، انسخ الرسالة كاملةً وأي رموز تظهر. تتطلب هذه الحالات تشخيصات مختلفة.

رسالة أو عرض	ما يجب عليك التحقق منه
الوظيفة المطلوبة غير مدعومة، ويشير الإشعار إلى CredSSP.	تحديثات وتصحيحات أوراكل التشفيرية.
الرمز المميز الذي تم تمريره إلى الدالة غير صالح، ورمزه هو 0xC000000D.	التأثير المحدد لبروتوكول سطح المكتب البعيد وحماية المسؤول، إذا كان ذلك يتوافق مع شروطك.
تحذير بشأن هوية أو شهادة المعدات.	اسم الاتصال، ومستوى الثقة، وصلاحية الشهادة.
الجهاز لا يستجيب أو أن الاتصال ينقطع.	توافر الوجهة، والاتصال، وقواعد الوصول.

إن الإشارة الصريحة إلى CredSSP مهمة لهذا التشخيص. لا تعزو أي خطأ في المصادقة إلى هذا التوجيه لمجرد احتوائه على كلمة "function".

قم بتحديث معلومات العميل والفريق البعيد

بالنسبة لحالة عدم التوافق الموثقة، توصي مايكروسوفت قم بتثبيت تحديثات CredSSP على كل من العميل والخادمحتى يمكن إنشاء الاتصال بشكل آمن.

العميل هو الحاسوب الذي تفتح منه الاتصال. أما الخادم أو المضيف فهو الحاسوب الذي تحاول الوصول إليه.

1. حدد إصدار وبنية نظام التشغيل Windows على كلا الجهازين باستخدام winver.
2. تحقق من سجل التحديثات.
3. قم بتثبيت التحديثات المناسبة لكل إصدار من خلال تحديثات ويندوز أو نظام إدارة مؤسستك.
4. أكمل عمليات إعادة التشغيل المطلوبة أثناء التثبيت.
5. أعد اختبار الاتصال قبل تعديل توافق CredSSP.

تم تحديد نقطة الضعف التي أدت إلى هذه الخيارات على النحو التالي: CVE-2018-0886تتضمن بعض التعليمات الرسمية تصحيحات تاريخية للأنظمة القديمة: يجب عدم نقل هذه المعرفات تلقائيًا إلى تثبيت Windows 11 الحالي.

إذا تعذر عليك تحديث الوجهة بسبب حظر بروتوكول سطح المكتب البعيد (RDP)، فاستخدم الوصول المحلي أو وحدة تحكم الإدارة المتاحة. بالنسبة للأجهزة الافتراضية، راجع خيارات الاسترداد التي توفرها منصتك.

ماذا تعني قيم AllowEncryptionOracle؟

التوجيه معالجة أوراكل التشفير، أو تصحيح أوراكل التشفير، يتحكم في التوافق مع الإصدارات الضعيفة من CredSSP.

يستحق	وضع	سلوك
0	فرض تحديث العملاء.	يمنع استخدام الإصدارات غير الآمنة ويرفض العملاء الذين لا يقومون بالتحديثات.
1	تم التخفيف من حدة المشكلة.	لا يعود العميل إلى إصدار غير آمن، ولكن يمكن للخادم قبول العملاء دون تحديث.
2	مُعَرَّض.	يسمح هذا النظام بالتوافق مع الإصدارات غير الآمنة ويقبل العملاء غير المحدثين.

لا تمثل هذه القيم ثلاثة مستويات متكافئة لتشخيص الأخطاء وإصلاحها، بل إنها تغير شروط الأمان والتوافق للاتصالات.

قبل مطالبة العملاء المحدثين باستخدام الخيار الأكثر تقييدًا، تحقق من أن جميع الأجهزة التي تحتاج إلى الاتصال لديها التحديثات المقابلة.

كيفية الاطلاع على التوجيه دون تعديله

على أجهزة الكمبيوتر التي تحتوي على محرر نهج المجموعة، يمكنك مراجعة الإعدادات من هذا المسار:

تكوين الكمبيوتر > القوالب الإدارية > النظام > تفويض بيانات الاعتماد > إصلاح تشفير أوراكل.

على جهاز كمبيوتر مُدار، تحقق أيضًا من سياسة المجموعة أو ملف تعريف الإدارة الذي يُحدد القيمة. قد يخضع التكوين المحلي لسياسات المؤسسة.

للتحقق من قيمة السجل دون تغييرها، افتح وحدة تحكم وقم بتشغيل الأمر التالي:

reg query "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\CredSSP\Parameters" /v AllowEncryptionOracle

إذا كانت القيمة موجودة، فدوّن النتيجة وقارنها بالسياسة المطبقة. إذا لم تظهر، فراجع الإعدادات والسلوك الفعليين لإصدار ويندوز هذا قبل إنشاء إدخال يدوي.

لا يقوم الاستعلام السابق بتعديل الإعدادات. الغرض منه هو الكشف، على سبيل المثال، عما إذا كان استثناء قديم لا يزال مُفعّلاً في وضع "الثغرات الأمنية".

لماذا لا ينبغي أن يكون AllowEncryptionOracle=2 هو المصفوفة الدائمة

تُوثّق مايكروسوفت وضع الأمان كحل مؤقت لبعض حالات عدم التوافق. كما تُحذّر من أنه يسمح باتصالات غير آمنة ويعرض الكمبيوتر البعيد للهجمات.

مجرد نجاح الاتصال بعد ضبط القيمة على 2 لا يعني أن الثغرة الأمنية قد تم إصلاحها. تم تخفيف إجراءات التحقق من التوافق.

إذا احتاجت مؤسسة ما إلى تطبيق هذا الاستثناء، فعليها أولاً توثيق الإعداد السابق، وتحديد نطاقه، والاستعداد لتحديث المعدات. ثم عليها إزالة الاستثناء والتحقق من أن بروتوكول سطح المكتب البعيد (RDP) يعمل وفقًا لسياسة الحماية المعتمدة.

يمكنك الاطلاع على السيناريوهات وشروطها في وثائق مايكروسوفت الرسمية حول خطأ CredSSP.

متى يجب التحقق من اتصال وإعدادات بروتوكول سطح المكتب البعيد (RDP)؟

إذا لم تتطابق الرسالة مع خطأ CredSSP أو لم يستجب الوجهة على الإطلاق، فتحقق أولاً من أن الكمبيوتر قيد التشغيل ومتصل ومُمكّن سطح المكتب البعيد.

في نظام التشغيل ويندوز 11، يوجد الخيار في الإعدادات > النظام > سطح المكتب البعيدلا يمكن للإصدارات المنزلية أن تعمل كمضيف لخدمة RDP المدمجة، على الرغم من أنها تستطيع الاتصال كعملاء بأجهزة كمبيوتر أخرى متوافقة.

يُعد تمكين المساعدة عن بُعد إعدادًا مختلفًا ولا يحل محل تمكين سطح المكتب البعيد.

لإجراء اتصال RDP مباشر باستخدام المنفذ المعتاد، يمكنك التحقق من اتصال TCP من خلال PowerShell:

Test-NetConnection -ComputerName "PC-OFICINA" -Port 3389

يستبدل PC-OFICINA عن طريق اسم الوجهة أو عنوانها ويستخدم منفذها الفعلي إذا تغير.

TcpTestSucceeded: True يشير هذا إلى أنه تم إنشاء اتصال TCP بهذا المنفذ بنجاح. لا يؤكد ذلك صحة بيانات الاعتماد أو اكتمال عملية مصادقة بروتوكول سطح المكتب البعيد (RDP).

إذا كنت تستخدم بوابة RDS، فتحقق من التوجيه والمتطلبات الخاصة بهذا التطبيق. راجع قواعد جدار الحماية للوصول المقصود، وتجنب تفعيل ملفات تعريف الشبكة بشكل عشوائي أو كشف المنفذ للإنترنت.

كيفية التحقق من بيانات الاعتماد المحفوظة غير الصحيحة

إذا أشارت الرسالة إلى أن الحساب أو كلمة المرور غير صحيحة، فتحقق من هوية المستخدم. قد لا تزال بيانات اعتماد قديمة مرتبطة باسم أو عنوان الكمبيوتر البعيد.

1. افتح مدير الاعتمادات من محرك بحث ويندوز.
2. يدخل بيانات اعتماد ويندوز.
3. حدد المدخل الذي يتوافق مع الوجهة المتأثرة.
4. إذا كنت بحاجة إلى استبداله ولديك بيانات الاعتماد الحالية، فاحذف هذا الإدخال فقط.
5. أعد الاتصال وأدخل الحساب الصحيح.

تحقق أيضًا مما إذا كنت بحاجة إلى حساب كمبيوتر محلي أو حساب نطاق. أعد تسمية المستخدمين باستخدام netplwiz هذه ليست طريقة تصحيح كلمة المرور المحفوظة على جهاز العميل.

يتعلق هذا الفحص بمشاكل الهوية. ولا يغني عن تحديث CredSSP عندما يشير التحذير إلى هذا التعارض.

ما يجب التحقق منه قبل اعتبار المشكلة محلولة

بعد تحديث الأنظمة ومراجعة السياسات، ابدأ جلسة جديدة مع المستخدم الذي واجه المشكلة. تأكد من إمكانية المصادقة دون الحاجة إلى إنشاء استثناء غير ضروري في وضع الأمان.

إذا استمرت المشكلة، فاجمع الرسالة كاملةً، وإصدار كلا النظامين، وأي تحديثات مثبتة، والإعدادات المُطبقة. إذا ظهر تحذير خاص بشهادة معينة، فراجع تلك الشهادة وفقًا لإجراءات التنفيذ الخاصة بك.

لا ينبغي أن يكون تعديل الشهادات أو تقليل الدقة أو تحديث برامج تشغيل الشبكة جزءًا من تسلسل تلقائي لكل خطأ في المصادقة. يجب أن تعالج الخطوة التالية المشكلة المستمرة.