Σφάλμα CredSSP στην Απομακρυσμένη Επιφάνεια Εργασίας: Η ζητούμενη δυνατότητα δεν υποστηρίζεται

Το μήνυμα "Η ζητούμενη λειτουργία δεν υποστηρίζεται" στην Απομακρυσμένη επιφάνεια εργασίας Ενδέχεται να εμφανίζεται συνοδευόμενο από μια αναφορά στην επιδιόρθωση του oracle κρυπτογράφησης CredSSP. Σε αυτήν την περίπτωση, θα πρέπει να ελέγξετε τις ενημερώσεις και τις πολιτικές ασφαλείας τόσο του υπολογιστή-πελάτη όσο και του απομακρυσμένου υπολογιστή.

Ορισμένοι οδηγοί συνιστούν την άμεση τροποποίηση AllowEncryptionOracle και ορίστε την τιμή 2Αυτή η αλλαγή μπορεί να επιτρέπει ορισμένες συνδέσεις, αλλά ενεργοποιεί μια λειτουργία που ονομάζεται ΤρωτόςΠριν από τη χρήση, εντοπίστε το σφάλμα και ελέγξτε αν μπορείτε να επιλύσετε την ασυμβατότητα ενημερώνοντας και τα δύο άκρα.

Πώς να εντοπίσετε το σφάλμα CredSSP στην Απομακρυσμένη επιφάνεια εργασίας

Η Microsoft τεκμηριώνει ένα σενάριο στο οποίο η σύνδεση RDP εμφανίζει σφάλμα ελέγχου ταυτότητας, υποδεικνύει ότι η ζητούμενη συνάρτηση δεν υποστηρίζεται και προσθέτει μια αναφορά στο Αποκατάσταση oracle κρυπτογράφησης CredSSP.

Το CredSSP σάς επιτρέπει να αναθέτετε διαπιστευτήρια για απομακρυσμένο έλεγχο ταυτότητας. Οι επιλογές συμβατότητάς του μπορούν να αποτρέψουν συνδέσεις που θα βασίζονταν σε ευάλωτες εκδόσεις του πρωτοκόλλου.

Πριν αλλάξετε οποιεσδήποτε ρυθμίσεις, αντιγράψτε ολόκληρο το μήνυμα και τυχόν κωδικούς που εμφανίζονται. Αυτές οι περιπτώσεις απαιτούν διαφορετικά διαγνωστικά:

Μήνυμα ή σύμπτωμα	Τι πρέπει να ελέγξετε
Η ζητούμενη συνάρτηση δεν υποστηρίζεται και η ειδοποίηση αναφέρει το CredSSP.	Οδηγία για ενημερώσεις και διορθώσεις κρυπτογραφικής Oracle.
Το διακριτικό που διαβιβάστηκε στη συνάρτηση δεν είναι έγκυρο, με κωδικό 0xC000000D.	Η συγκεκριμένη επίδραση του RDP και της Προστασίας Διαχειριστή, εάν ταιριάζει με τις συνθήκες σας.
Προειδοποίηση σχετικά με την ταυτότητα ή το πιστοποιητικό του εξοπλισμού.	Όνομα σύνδεσης, αξιοπιστία και εγκυρότητα πιστοποιητικού.
Η συσκευή δεν αποκρίνεται ή λήγει το χρονικό όριο σύνδεσης.	Διαθεσιμότητα προορισμού, συνδεσιμότητα και κανόνες πρόσβασης.

Η ρητή αναφορά στο CredSSP είναι σημαντική για αυτή τη διάγνωση. Μην αποδίδετε κανένα σφάλμα ελέγχου ταυτότητας σε αυτήν την οδηγία απλώς και μόνο επειδή περιέχει τη λέξη "function".

Ενημέρωση του πελάτη και της απομακρυσμένης ομάδας

Για το τεκμηριωμένο σενάριο ασυμβατότητας, η Microsoft συνιστά Εγκαταστήστε ενημερώσεις CredSSP τόσο στον υπολογιστή-πελάτη όσο και στον διακομιστήώστε να μπορεί να δημιουργηθεί με ασφάλεια η σύνδεση.

Ο υπολογιστής-πελάτης είναι ο υπολογιστής από τον οποίο ανοίγετε τη σύνδεση. Ο διακομιστής ή ο κεντρικός υπολογιστής είναι ο υπολογιστής στον οποίο προσπαθείτε να αποκτήσετε πρόσβαση.

1. Προσδιορίστε την έκδοση των Windows και την έκδοση και των δύο υπολογιστών χρησιμοποιώντας winver.
2. Ελέγξτε το ιστορικό ενημερώσεών του.
3. Εγκαταστήστε τις ενημερώσεις που ισχύουν για κάθε έκδοση μέσω του Windows Update ή του συστήματος διαχείρισης του οργανισμού σας.
4. Ολοκληρώστε τις επανεκκινήσεις που ζητούνται από την εγκατάσταση.
5. Ελέγξτε ξανά τη σύνδεση πριν τροποποιήσετε τη συμβατότητα του CredSSP.

Η ευπάθεια που οδήγησε σε αυτές τις επιλογές προσδιορίζεται ως CVE-2018-0886Ορισμένες επίσημες οδηγίες περιλαμβάνουν ιστορικές ενημερώσεις κώδικα για παλαιότερα συστήματα: αυτά τα αναγνωριστικά δεν θα πρέπει να μεταφέρονται αυτόματα σε μια τρέχουσα εγκατάσταση των Windows 11.

Εάν δεν μπορείτε να ενημερώσετε τον προορισμό επειδή το RDP είναι αποκλεισμένο, χρησιμοποιήστε τοπική πρόσβαση ή μια διαθέσιμη κονσόλα διαχείρισης. Για εικονικές μηχανές, συμβουλευτείτε τις επιλογές αποκατάστασης που παρέχονται από την πλατφόρμα σας.

Τι σημαίνουν οι τιμές του AllowEncryptionOracle;

Η οδηγία Κρυπτογράφηση Oracle Remediation, ή η διόρθωση κρυπτογράφησης oracle, ελέγχει τη συμβατότητα με ευάλωτες εκδόσεις του CredSSP.

Αξία	Τρόπος	Συμπεριφορά
0	Αναγκάστε τους Ενημερωμένους Πελάτες.	Αποτρέπει τη χρήση μη ασφαλών εκδόσεων και απορρίπτει τους υπολογιστές-πελάτες χωρίς ενημερώσεις.
1	Μετριασμένο.	Ο πελάτης δεν επανέρχεται σε μια μη ασφαλή έκδοση, αλλά ο διακομιστής μπορεί να δεχτεί πελάτες χωρίς ενημέρωση.
2	Τρωτός.	Επιτρέπει τη συμβατότητα με μη ασφαλείς εκδόσεις και δέχεται μη ενημερωμένους υπολογιστές-πελάτες.

Αυτές οι τιμές δεν αντιπροσωπεύουν τρία ισοδύναμα επίπεδα για την αντιμετώπιση προβλημάτων σφάλματος. Αλλάζουν τις συνθήκες ασφάλειας και συμβατότητας των συνδέσεων.

Πριν απαιτήσετε ενημέρωση των πελατών χρησιμοποιώντας την πιο περιοριστική επιλογή, ελέγξτε ότι όλες οι συσκευές που πρέπει να επικοινωνούν διαθέτουν τις αντίστοιχες ενημερώσεις.

Πώς να συμβουλευτείτε την οδηγία χωρίς να την τροποποιήσετε

Σε υπολογιστές που διαθέτουν τον Επεξεργαστή πολιτικής ομάδας, μπορείτε να ελέγξετε τη ρύθμιση από αυτήν τη διαδρομή:

Ρύθμιση παραμέτρων υπολογιστή > Πρότυπα διαχείρισης > Σύστημα > Ανάθεση διαπιστευτηρίων > Διόρθωση κρυπτογράφησης Oracle.

Σε έναν διαχειριζόμενο υπολογιστή, ελέγξτε επίσης ποιο GPO ή προφίλ διαχείρισης ορίζει την τιμή. Μια τοπική διαμόρφωση ενδέχεται να υπόκειται σε οργανωτικές πολιτικές.

Για να ελέγξετε την τιμή του μητρώου χωρίς να την αλλάξετε, ανοίξτε μια κονσόλα και εκτελέστε:

reg query "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\CredSSP\Parameters" /v AllowEncryptionOracle

Εάν η τιμή υπάρχει, σημειώστε το αποτέλεσμα και συγκρίνετέ το με την εφαρμοσμένη πολιτική. Εάν δεν εμφανίζεται, συμβουλευτείτε την πραγματική διαμόρφωση και συμπεριφορά αυτής της έκδοσης των Windows πριν δημιουργήσετε μια καταχώρηση με μη αυτόματο τρόπο.

Το προηγούμενο ερώτημα δεν τροποποιεί τη διαμόρφωση. Σκοπός του είναι να ανιχνεύσει, για παράδειγμα, εάν μια παλιά εξαίρεση παραμένει ορισμένη σε λειτουργία ευάλωτης.

Γιατί το AllowEncryptionOracle=2 δεν θα πρέπει να είναι ο μόνιμος πίνακας

Η Microsoft καταγράφει την ευάλωτη λειτουργία ως προσωρινή λύση για ορισμένα σενάρια ασυμβατότητας. Προειδοποιεί επίσης ότι επιτρέπει μη ασφαλείς συνδέσεις και εκθέτει τον απομακρυσμένο υπολογιστή σε επιθέσεις.

Το γεγονός ότι μια σύνδεση λειτουργεί μετά τον ορισμό της τιμής σε 2 δεν σημαίνει ότι η ευπάθεια έχει διορθωθεί. Ένας έλεγχος συμβατότητας έχει χαλαρώσει.

Εάν ένας οργανισμός χρειάζεται να εφαρμόσει αυτήν την εξαίρεση, πρέπει πρώτα να τεκμηριώσει την προηγούμενη ρύθμιση, να περιορίσει το πεδίο εφαρμογής της και να προετοιμαστεί για την ενημέρωση του εξοπλισμού. Στη συνέχεια, πρέπει να καταργήσει την εξαίρεση και να επαληθεύσει ότι το RDP λειτουργεί σύμφωνα με την προβλεπόμενη πολιτική προστασίας.

Μπορείτε να ελέγξετε τα σενάρια και τις συνθήκες τους στο Επίσημη τεκμηρίωση της Microsoft σχετικά με το σφάλμα CredSSP.

Πότε πρέπει να ελέγξετε τη συνδεσιμότητα και τις ρυθμίσεις RDP

Εάν το μήνυμα δεν ταιριάζει με το σφάλμα CredSSP ή ο προορισμός δεν αποκρίνεται καθόλου, ελέγξτε πρώτα ότι ο υπολογιστής είναι ενεργοποιημένος, συνδεδεμένος και έχει ενεργοποιημένη την Απομακρυσμένη επιφάνεια εργασίας.

Στα Windows 11, η επιλογή βρίσκεται στο Ρυθμίσεις > Σύστημα > Απομακρυσμένη επιφάνεια εργασίαςΟι εκδόσεις Home δεν μπορούν να λειτουργήσουν ως κεντρικοί υπολογιστές για την ενσωματωμένη υπηρεσία RDP, αν και μπορούν να συνδεθούν ως πελάτες σε άλλους συμβατούς υπολογιστές.

Η ενεργοποίηση της Απομακρυσμένης Βοήθειας είναι μια διαφορετική ρύθμιση και δεν αντικαθιστά την ενεργοποίηση της Απομακρυσμένης Επιφάνειας Εργασίας.

Για μια άμεση σύνδεση RDP χρησιμοποιώντας τη συνήθη θύρα, μπορείτε να ελέγξετε τη συνδεσιμότητα TCP από το PowerShell:

Test-NetConnection -ComputerName "PC-OFICINA" -Port 3389

Αντικαθιστά PC-OFICINA από το όνομα ή τη διεύθυνση προορισμού και χρησιμοποιεί την πραγματική του θύρα εάν έχει αλλάξει.

TcpTestSucceeded: True υποδεικνύει ότι έχει δημιουργηθεί με επιτυχία μια σύνδεση TCP σε αυτήν τη θύρα. Δεν επιβεβαιώνει ότι τα διαπιστευτήρια είναι σωστά ή ότι ο έλεγχος ταυτότητας RDP θα ολοκληρωθεί.

Εάν χρησιμοποιείτε μια πύλη RDS, ελέγξτε τη δρομολόγηση και τις συγκεκριμένες απαιτήσεις αυτής της υλοποίησης. Εξετάστε τους κανόνες του τείχους προστασίας για την προβλεπόμενη πρόσβαση, αποφεύγοντας την αδιάκριτη ενεργοποίηση προφίλ δικτύου ή την έκθεση της θύρας στο διαδίκτυο.

Πώς να ελέγξετε για λανθασμένα αποθηκευμένα διαπιστευτήρια

Εάν το μήνυμα υποδεικνύει ότι ο λογαριασμός ή ο κωδικός πρόσβασης είναι λανθασμένοι, ελέγξτε ποια ταυτότητα χρησιμοποιεί ο υπολογιστής-πελάτης. Ένα παλιό διαπιστευτήριο ενδέχεται να εξακολουθεί να σχετίζεται με το όνομα ή τη διεύθυνση του απομακρυσμένου υπολογιστή.

1. Άνοιξε το Διαχειριστής διαπιστευτηρίων από τη μηχανή αναζήτησης των Windows.
2. Εισάγω Διαπιστευτήρια των Windows.
3. Εντοπίστε την καταχώρηση που αντιστοιχεί στον επηρεαζόμενο προορισμό.
4. Εάν χρειάζεται να το αντικαταστήσετε και έχετε τα τρέχοντα διαπιστευτήρια, διαγράψτε μόνο αυτήν την καταχώρηση.
5. Επανασυνδεθείτε και εισαγάγετε τον σωστό λογαριασμό.

Ελέγξτε επίσης αν χρειάζεστε έναν λογαριασμό τοπικού υπολογιστή ή έναν λογαριασμό τομέα. Μετονομάστε τους χρήστες χρησιμοποιώντας netplwiz Αυτή δεν είναι η διαδικασία για τη διόρθωση ενός κωδικού πρόσβασης που είναι αποθηκευμένος στον υπολογιστή-πελάτη.

Αυτός ο έλεγχος αφορά ζητήματα ταυτότητας. Δεν αντικαθιστά την ενημέρωση του CredSSP όταν η προειδοποίηση εντοπίζει αυτήν την ασυμβατότητα.

Τι πρέπει να ελέγξετε πριν θεωρήσετε ότι το πρόβλημα έχει λυθεί

Αφού ενημερώσετε τα συστήματα και ελέγξετε τις πολιτικές, ξεκινήστε μια νέα περίοδο λειτουργίας με τον χρήστη που αντιμετώπιζε το πρόβλημα. Επαληθεύστε ότι μπορείτε να πραγματοποιήσετε έλεγχο ταυτότητας χωρίς να διατηρείτε μια περιττή εξαίρεση σε λειτουργία ευάλωτης λειτουργίας.

Εάν το πρόβλημα επιμένει, συγκεντρώστε το πλήρες μήνυμα, την έκδοση και των δύο συστημάτων, τυχόν εγκατεστημένες ενημερώσεις και τις εφαρμοσμένες ρυθμίσεις. Εάν εμφανιστεί μια προειδοποίηση που αφορά συγκεκριμένα το πιστοποιητικό, ελέγξτε αυτό το πιστοποιητικό ακολουθώντας τις διαδικασίες της υλοποίησής σας.

Η τροποποίηση πιστοποιητικών, η μείωση της ανάλυσης ή η ενημέρωση των προγραμμάτων οδήγησης δικτύου δεν θα πρέπει να αποτελούν μέρος μιας αυτόματης ακολουθίας για κάθε σφάλμα ελέγχου ταυτότητας. Το επόμενο βήμα θα πρέπει να αντιμετωπίσει το επίμονο σύμπτωμα.