CredSSP hiba a távoli asztalon: A kért funkció nem támogatott

Az üzenet „A kért függvény nem támogatott” a Távoli asztalon Előfordulhat, hogy a CredSSP titkosítási oracle javítására való hivatkozással együtt jelenik meg. Ebben az esetben tekintse át mind a kliens, mind a távoli gép frissítéseit és biztonsági szabályzatait.

Néhány útmutató a közvetlen módosítást javasolja AllowEncryptionOracle és rendelje hozzá az értéket 2Ez a módosítás bizonyos kapcsolatokat engedélyezhet, de aktivál egy úgynevezett módot. SebezhetőHasználat előtt azonosítsa a hibát, és ellenőrizze, hogy mindkét végpont frissítésével megoldható-e az inkompatibilitás.

A CredSSP hiba azonosítása a Távoli asztalon

A Microsoft dokumentál egy olyan forgatókönyvet, amelyben az RDP-kapcsolat hitelesítési hibát mutat, jelzi, hogy a kért függvény nem támogatott, és hivatkozást ad hozzá a következőhöz: CredSSP titkosítási oracle-javítás.

A CredSSP lehetővé teszi a hitelesítő adatok delegálását távoli hitelesítéshez. Kompatibilitási beállításai megakadályozhatják azokat a kapcsolatokat, amelyek a protokoll sebezhető verzióira támaszkodnának.

Mielőtt bármilyen beállítást módosítana, másolja ki a teljes üzenetet és a megjelenő kódokat. Ezek a helyzetek eltérő diagnosztikát igényelnek:

Üzenet vagy tünet	Amit ellenőriznie kell
A kért függvény nem támogatott, és az értesítés a CredSSP-t említi.	Kriptográfiai Oracle frissítések és javítások irányelve.
A függvénynek átadott token érvénytelen, a kód 0xC000000D.	Az RDP és a rendszergazdai védelem konkrét hatása, amennyiben megfelel a feltételeidnek.
Figyelmeztetés a berendezés azonosítójára vagy tanúsítványára vonatkozóan.	Kapcsolat neve, megbízhatóság és tanúsítvány érvényessége.
A készülék nem válaszol, vagy a kapcsolat időtúllépést okoz.	Célhely elérhetősége, csatlakozási és hozzáférési szabályok.

A CredSSP-re való explicit hivatkozás fontos ennél a diagnózisnál. Ne tulajdoníts hitelesítési hibát az adott direktívának pusztán azért, mert tartalmazza a "függvény" szót.

Frissítse az ügyfelet és a távoli csapatot

A dokumentált kompatibilitási forgatókönyv esetén a Microsoft azt javasolja, hogy Telepítse a CredSSP frissítéseit mind a kliensre, mind a szerverrehogy a kapcsolat biztonságosan létrehozható legyen.

A kliens az a számítógép, amelyről a kapcsolatot megnyitod. A szerver vagy gazdagép az a számítógép, amelyhez hozzáférni próbálsz.

1. Határozza meg mindkét számítógép Windows verzióját és buildjét a következővel: winver.
2. Ellenőrizd a frissítési előzményeit.
3. Telepítse az egyes verziókhoz tartozó frissítéseket a Windows Update-en vagy a szervezet felügyeleti rendszerén keresztül.
4. Hajtsa végre a telepítés által kért újraindításokat.
5. A CredSSP kompatibilitás módosítása előtt tesztelje újra a kapcsolatot.

Az ezekhez a lehetőségekhez vezető sebezhetőséget a következőképpen azonosították: CVE-2018-0886Néhány hivatalos utasítás tartalmazza a régebbi rendszerekhez tartozó korábbi javításokat: ezeket az azonosítókat nem szabad automatikusan átvinni a jelenlegi Windows 11 telepítésbe.

Ha az RDP blokkolása miatt nem tudja frissíteni a célhelyet, használjon helyi hozzáférést vagy egy elérhető felügyeleti konzolt. Virtuális gépek esetén tekintse meg a platformja által biztosított helyreállítási lehetőségeket.

Mit jelentenek az AllowEncryptionOracle értékei?

Az irányelv Titkosítási Oracle-javításA , vagyis a titkosítási orákulum korrekciója a CredSSP sebezhető verzióival való kompatibilitást szabályozza.

Érdemes	Mód	Viselkedés
0	Frissített kliensek kényszerítése.	Megakadályozza a nem biztonságos verziók használatát, és elutasítja a frissítések nélküli klienseket.
1	Enyhített.	A kliens nem tér vissza egy nem biztonságos verzióra, de a szerver frissítés nélkül fogadhat klienseket.
2	Sebezhető.	Lehetővé teszi a kompatibilitást a nem biztonságos verziókkal, és elfogadja a nem frissített klienseket.

Ezek az értékek nem három egyenértékű szintet képviselnek a hibaelhárításhoz. Megváltoztatják a kapcsolatok biztonsági és kompatibilitási feltételeit.

Mielőtt a legszigorúbb beállítás használatával frissített klienseket írna elő, ellenőrizze, hogy minden kommunikálni kívánt eszközön megtalálhatók-e a megfelelő frissítések.

Hogyan lehet az irányelvet módosítás nélkül megtekinteni

A Csoportházirend-szerkesztővel rendelkező számítógépeken a beállításokat a következő elérési úton tekintheti át:

Számítógép konfigurációja > Felügyeleti sablonok > Rendszer > Hitelesítő adatok delegálása > Titkosítási Oracle javítása.

Felügyelt számítógépen azt is ellenőrizze, hogy melyik csoportházirend vagy felügyeleti profil állítja be az értéket. A helyi konfigurációra szervezeti szabályzatok vonatkozhatnak.

A beállításjegyzékbeli érték módosítás nélküli ellenőrzéséhez nyisson meg egy konzolt, és futtassa a következőt:

reg query "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\CredSSP\Parameters" /v AllowEncryptionOracle

Ha az érték létezik, jegyezze fel az eredményt, és hasonlítsa össze az alkalmazott szabályzattal. Ha nem jelenik meg, a bejegyzés manuális létrehozása előtt tekintse meg a Windows adott verziójának tényleges konfigurációját és viselkedését.

Az előző lekérdezés nem módosítja a konfigurációt. A célja például annak észlelése, hogy egy régi kivétel továbbra is sebezhető módban van-e beállítva.

Miért nem lehet az AllowEncryptionOracle=2 állandó tömb?

A Microsoft a sebezhető módot bizonyos kompatibilitási problémák ideiglenes megoldásaként dokumentálja. Figyelmeztet arra is, hogy nem biztonságos kapcsolatokat tesz lehetővé, és a távoli számítógépet támadásoknak teszi ki.

Az, hogy egy kapcsolat működik a 2-es érték beállítása után, nem jelenti azt, hogy a sebezhetőséget kijavították. A kompatibilitási ellenőrzést enyhítették.

Ha egy szervezetnek alkalmaznia kell ezt a kivételt, először dokumentálnia kell az előző beállítást, korlátoznia kell a hatókörét, és fel kell készülnie a berendezés frissítésére. Ezután el kell távolítania a kivételt, és ellenőriznie kell, hogy az RDP a tervezett védelmi szabályzatnak megfelelően működik-e.

A forgatókönyveket és azok feltételeit a A CredSSP hibáról szóló hivatalos Microsoft-dokumentáció.

Mikor kell ellenőrizni az RDP-kapcsolatot és -beállításokat?

Ha az üzenet nem egyezik a CredSSP hibával, vagy a célállomás egyáltalán nem válaszol, először ellenőrizze, hogy a számítógép be van-e kapcsolva, csatlakoztatva van-e, és engedélyezve van-e rajta a Távoli asztal.

Windows 11 rendszerben a beállítás a következő helyen található: Beállítások > Rendszer > Távoli asztalAz otthoni kiadások nem működhetnek az integrált RDP szolgáltatás gazdagépeként, bár kliensként csatlakozhatnak más kompatibilis számítógépekhez.

A Távoli segítségnyújtás engedélyezése egy másik beállítás, és nem helyettesíti a Távoli asztal engedélyezését.

Közvetlen RDP-kapcsolat esetén a szokásos port használatával ellenőrizheti a TCP-kapcsolatot a PowerShellből:

Test-NetConnection -ComputerName "PC-OFICINA" -Port 3389

Cseréli PC-OFICINA a célállomás neve vagy címe alapján, és a tényleges portját használja, ha az megváltozott.

TcpTestSucceeded: True azt jelzi, hogy sikeresen létrejött a TCP-kapcsolat az adott porttal. Nem erősíti meg, hogy a hitelesítő adatok helyesek, vagy hogy az RDP-hitelesítés befejeződik.

Ha RDS-átjárót használ, ellenőrizze az adott megvalósítás útválasztását és konkrét követelményeit. Tekintse át a tervezett hozzáféréshez tartozó tűzfalszabályokat, kerülve a hálózati profilok válogatás nélküli engedélyezését vagy a port internet felé történő elérhetővé tételét.

Helytelenül mentett hitelesítő adatok ellenőrzése

Ha az üzenet azt jelzi, hogy a fiók vagy a jelszó helytelen, ellenőrizze, hogy az ügyfél melyik identitást használja. Előfordulhat, hogy egy régi hitelesítő adat továbbra is társítva van a távoli számítógép nevéhez vagy címéhez.

1. Nyissa meg a Hitelesítőadat-kezelő a Windows keresőmotorjából.
2. Belépés Windows hitelesítő adatok.
3. Keresse meg az érintett célhelynek megfelelő bejegyzést.
4. Ha le kell cserélnie, és rendelkezik a jelenlegi hitelesítő adatokkal, csak azt a bejegyzést törölje.
5. Csatlakozz újra, és add meg a helyes fiókot.

Azt is ellenőrizd, hogy helyi számítógépes fiókra vagy tartományi fiókra van-e szükséged. Nevezd át a felhasználókat a következővel: netplwiz Ez nem az ügyfélen mentett jelszó javításának eljárása.

Ez az ellenőrzés az identitási problémákra vonatkozik. Nem helyettesíti a CredSSP frissítését, amikor a figyelmeztetés ezt az inkompatibilitást azonosítja.

Mit kell ellenőrizni, mielőtt a problémát megoldottnak tekintenénk

A rendszerek frissítése és a szabályzatok áttekintése után indítson új munkamenetet azzal a felhasználóval, akinél a probléma jelentkezett. Ellenőrizze, hogy képes-e hitelesíteni magát anélkül, hogy szükségtelen kivételt tartana fenn sebezhető módban.

Ha a probléma továbbra is fennáll, gyűjtse össze a teljes üzenetet, mindkét rendszer verzióját, a telepített frissítéseket és az alkalmazott beállításokat. Ha tanúsítványspecifikus figyelmeztetés jelenik meg, tekintse át a tanúsítványt a megvalósításának eljárásait követve.

A tanúsítványok módosítása, a felbontás csökkentése vagy a hálózati illesztőprogramok frissítése nem lehet minden hitelesítési hiba automatikus elhárítási folyamatának része. A következő lépésnek a tartósan fennálló tünetet kell kezelnie.