Kesalahan CredSSP pada Remote Desktop: Fitur yang diminta tidak didukung

Pesan tersebut "Fungsi yang diminta tidak didukung" di Remote Desktop Pesan tersebut mungkin muncul disertai dengan referensi ke perbaikan oracle enkripsi CredSSP. Dalam hal ini, Anda harus meninjau pembaruan dan kebijakan keamanan baik pada klien maupun mesin jarak jauh.

Beberapa panduan merekomendasikan modifikasi langsung. AllowEncryptionOracle dan berikan nilainya 2Perubahan ini mungkin memungkinkan koneksi tertentu, tetapi mengaktifkan mode yang disebut... RentanSebelum menggunakannya, identifikasi kesalahannya dan periksa apakah Anda dapat mengatasi ketidakcocokan tersebut dengan memperbarui kedua ujungnya.

Cara mengidentifikasi kesalahan CredSSP di Remote Desktop

Microsoft mendokumentasikan skenario di mana koneksi RDP menunjukkan kesalahan autentikasi, menunjukkan bahwa fungsi yang diminta tidak didukung, dan menambahkan referensi ke Perbaikan oracle enkripsi CredSSP.

CredSSP memungkinkan Anda mendelegasikan kredensial untuk otentikasi jarak jauh. Opsi kompatibilitasnya dapat mencegah koneksi yang bergantung pada versi protokol yang rentan.

Sebelum mengubah pengaturan apa pun, salin seluruh pesan dan kode apa pun yang muncul. Situasi-situasi ini memerlukan diagnosis yang berbeda:

Pesan atau gejala	Apa yang harus Anda periksa
Fungsi yang diminta tidak didukung dan pemberitahuan tersebut menyebutkan CredSSP.	Arahan Pembaruan dan Koreksi Oracle Kriptografi.
Token yang diteruskan ke fungsi tidak valid, dengan kode 0xC000000D.	Dampak spesifik dari RDP dan Perlindungan Administrator, jika sesuai dengan kondisi Anda.
Peringatan tentang identitas atau sertifikat peralatan tersebut.	Nama koneksi, kepercayaan, dan validitas sertifikat.
Perangkat tidak merespons atau koneksi terputus karena waktu habis.	Ketersediaan tujuan, konektivitas, dan aturan akses.

Penyebutan CredSSP secara eksplisit sangat penting untuk diagnosis ini. Jangan mengaitkan kesalahan otentikasi apa pun dengan arahan tersebut hanya karena arahan tersebut mengandung kata "fungsi".

Berikan informasi terbaru kepada klien dan tim jarak jauh.

Untuk skenario ketidakcocokan yang terdokumentasi, Microsoft merekomendasikan Instal pembaruan CredSSP pada klien dan server.agar koneksi dapat terjalin dengan aman.

Klien adalah komputer tempat Anda membuka koneksi. Server atau host adalah komputer yang ingin Anda akses.

1. Identifikasi versi dan build Windows dari kedua komputer menggunakan winver.
2. Periksa riwayat pembaruannya.
3. Instal pembaruan yang sesuai untuk setiap versi melalui Windows Update atau sistem manajemen organisasi Anda.
4. Selesaikan proses restart yang diminta oleh instalasi.
5. Uji koneksi lagi sebelum memodifikasi kompatibilitas CredSSP.

Kerentanan yang menyebabkan munculnya opsi-opsi ini diidentifikasi sebagai CVE-2018-0886Beberapa petunjuk resmi menyertakan patch historis untuk sistem lama: pengidentifikasi tersebut tidak boleh secara otomatis ditransfer ke instalasi Windows 11 saat ini.

Jika Anda tidak dapat memperbarui tujuan karena RDP diblokir, gunakan akses lokal atau konsol manajemen yang tersedia. Untuk mesin virtual, lihat opsi pemulihan yang disediakan oleh platform Anda.

Apa arti nilai-nilai AllowEncryptionOracle?

Arahan tersebut Perbaikan Oracle Enkripsi, atau koreksi oracle enkripsi, mengontrol kompatibilitas dengan versi CredSSP yang rentan.

Bernilai	Mode	Perilaku
0	Paksa pembaruan klien.	Hal ini mencegah penggunaan versi yang tidak aman dan menolak klien tanpa pembaruan.
1	Diredakan.	Klien tidak kembali ke versi yang tidak aman, tetapi server dapat menerima klien tanpa melakukan pembaruan.
2	Rentan.	Ini memungkinkan kompatibilitas dengan versi yang tidak aman dan menerima klien yang belum diperbarui.

Nilai-nilai ini tidak mewakili tiga level yang setara untuk mengatasi kesalahan. Nilai-nilai ini mengubah kondisi keamanan dan kompatibilitas koneksi.

Sebelum mewajibkan pembaruan klien menggunakan opsi yang paling ketat, periksa terlebih dahulu apakah semua perangkat yang perlu berkomunikasi telah memiliki pembaruan yang sesuai.

Bagaimana cara melihat arahan tanpa mengubahnya?

Pada komputer yang memiliki Editor Kebijakan Grup, Anda dapat meninjau pengaturan dari jalur ini:

Konfigurasi Komputer > Templat Administratif > Sistem > Delegasi Kredensial > Perbaikan Oracle Enkripsi.

Pada komputer yang dikelola, periksa juga GPO atau profil manajemen mana yang menetapkan nilai tersebut. Konfigurasi lokal mungkin tunduk pada kebijakan organisasi.

Untuk memeriksa nilai Registry tanpa mengubahnya, buka konsol dan jalankan perintah berikut:

reg query "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\CredSSP\Parameters" /v AllowEncryptionOracle

Jika nilai tersebut ada, catat hasilnya dan bandingkan dengan kebijakan yang diterapkan. Jika tidak muncul, konsultasikan konfigurasi dan perilaku sebenarnya dari versi Windows tersebut sebelum membuat entri secara manual.

Kueri sebelumnya tidak mengubah konfigurasi. Tujuannya adalah untuk mendeteksi, misalnya, apakah pengecualian lama masih diatur dalam mode Rentan.

Mengapa AllowEncryptionOracle=2 tidak boleh menjadi array permanen?

Microsoft mendokumentasikan Mode Rentan sebagai solusi sementara untuk skenario ketidakkompatibilitas tertentu. Namun, Microsoft juga memperingatkan bahwa mode ini memungkinkan koneksi yang tidak aman dan membuat komputer jarak jauh rentan terhadap serangan.

Hanya karena koneksi berfungsi setelah mengatur nilainya menjadi 2, bukan berarti kerentanan tersebut telah diperbaiki. Pemeriksaan kompatibilitas telah dilonggarkan.

Jika suatu organisasi perlu menerapkan pengecualian ini, organisasi tersebut harus terlebih dahulu mendokumentasikan pengaturan sebelumnya, membatasi cakupannya, dan bersiap untuk memperbarui peralatan. Kemudian, organisasi tersebut harus menghapus pengecualian dan memverifikasi bahwa RDP berfungsi sesuai dengan kebijakan perlindungan yang dimaksud.

Anda dapat memeriksa skenario dan kondisinya di sini. Dokumentasi resmi Microsoft tentang kesalahan CredSSP.

Kapan harus memeriksa konektivitas dan pengaturan RDP?

Jika pesan tidak sesuai dengan kesalahan CredSSP atau tujuan tidak merespons sama sekali, pertama-tama periksa apakah komputer dalam keadaan menyala, terhubung, dan Remote Desktop diaktifkan.

Di Windows 11, opsi tersebut terletak di Pengaturan > Sistem > Desktop Jarak JauhEdisi rumahan tidak dapat bertindak sebagai host untuk layanan RDP terintegrasi, meskipun dapat terhubung sebagai klien ke komputer lain yang kompatibel.

Mengaktifkan Bantuan Jarak Jauh adalah pengaturan yang berbeda dan tidak menggantikan pengaktifan Desktop Jarak Jauh.

Untuk koneksi RDP langsung menggunakan port biasa, Anda dapat memeriksa konektivitas TCP dari PowerShell:

Test-NetConnection -ComputerName "PC-OFICINA" -Port 3389

Menggantikan PC-OFICINA berdasarkan nama atau alamat tujuan dan menggunakan port aktualnya jika telah berubah.

TcpTestSucceeded: True Menunjukkan bahwa koneksi TCP ke port tersebut telah berhasil dibuat. Hal ini tidak memastikan bahwa kredensial tersebut benar atau bahwa autentikasi RDP akan selesai.

Jika Anda menggunakan gateway RDS, periksa perutean dan persyaratan khusus dari implementasi tersebut. Tinjau aturan firewall untuk akses yang dimaksud, hindari mengaktifkan profil jaringan secara sembarangan atau mengekspos port ke internet.

Cara memeriksa kredensial yang tersimpan salah.

Jika pesan menunjukkan bahwa akun atau kata sandi salah, periksa identitas yang digunakan klien. Kredensial lama mungkin masih terkait dengan nama atau alamat komputer jarak jauh.

1. Buka Pengelola Kredensial dari mesin pencari Windows.
2. Memasuki Kredensial Windows.
3. Temukan entri yang sesuai dengan tujuan yang terpengaruh.
4. Jika Anda perlu menggantinya dan Anda memiliki kredensial terbaru, hapus saja entri tersebut.
5. Sambungkan kembali dan masukkan akun yang benar.

Periksa juga apakah Anda memerlukan akun komputer lokal atau akun domain. Ganti nama pengguna menggunakan netplwiz Ini bukan prosedur untuk memperbaiki kata sandi yang tersimpan di klien.

Pemeriksaan ini berkaitan dengan masalah identitas. Ini tidak menggantikan pembaruan CredSSP ketika peringatan tersebut mengidentifikasi ketidakkompatibilitas ini.

Hal-hal yang perlu diperiksa sebelum menganggap masalah telah terpecahkan

Setelah memperbarui sistem dan meninjau kebijakan, mulailah sesi baru dengan pengguna yang mengalami masalah tersebut. Verifikasi bahwa Anda dapat melakukan autentikasi tanpa mempertahankan pengecualian yang tidak perlu dalam mode Rentan.

Jika masalah berlanjut, kumpulkan pesan lengkap, versi kedua sistem, pembaruan yang terinstal, dan pengaturan yang diterapkan. Jika muncul peringatan khusus sertifikat, tinjau sertifikat tersebut sesuai dengan prosedur implementasi Anda.

Memodifikasi sertifikat, mengurangi resolusi, atau memperbarui driver jaringan seharusnya bukan bagian dari urutan otomatis untuk setiap kesalahan otentikasi. Langkah selanjutnya harus mengatasi gejala yang terus berulang.