Errore CredSSP su Desktop remoto: la funzionalità richiesta non è supportata

Il messaggio "La funzione richiesta non è supportata" in Desktop remoto Potrebbe apparire accompagnato da un riferimento alla correzione dell'oracolo di crittografia CredSSP. In tal caso, è necessario verificare gli aggiornamenti e le policy di sicurezza sia del client che del computer remoto.

Alcune guide consigliano di modificare direttamente AllowEncryptionOracle e assegnare il valore 2Questa modifica può consentire determinate connessioni, ma attiva una modalità chiamata VulnerabilePrima di utilizzarlo, identifica l'errore e verifica se è possibile risolvere l'incompatibilità aggiornando entrambe le estremità.

Come identificare l'errore CredSSP in Desktop remoto

Microsoft documenta uno scenario in cui la connessione RDP mostra un errore di autenticazione, indica che la funzione richiesta non è supportata e aggiunge un riferimento a Correzione dell'oracolo di crittografia CredSSP.

CredSSP consente di delegare le credenziali per l'autenticazione remota. Le sue opzioni di compatibilità possono impedire le connessioni che si baserebbero su versioni vulnerabili del protocollo.

Prima di modificare qualsiasi impostazione, copia l'intero messaggio e tutti i codici visualizzati. Queste situazioni richiedono una diagnostica diversa:

Messaggio o sintomo	Cosa dovresti controllare
La funzione richiesta non è supportata e l'avviso menziona CredSSP.	Direttiva sugli aggiornamenti e le correzioni dell'oracolo crittografico.
Il token passato alla funzione non è valido, con codice 0xC000000D.	L'impatto specifico di RDP e della protezione dell'amministratore, se corrispondono alle vostre esigenze.
Avviso relativo all'identità o alla certificazione dell'apparecchiatura.	Nome della connessione, livello di attendibilità e validità del certificato.
Il dispositivo non risponde o la connessione va in timeout.	Disponibilità della destinazione, connettività e regole di accesso.

Il riferimento esplicito a CredSSP è importante per questa diagnosi. Non attribuire alcun errore di autenticazione a quella direttiva solo perché contiene la parola "funzione".

Aggiornare il cliente e il team remoto

Per lo scenario di incompatibilità documentato, Microsoft raccomanda Installa gli aggiornamenti di CredSSP sia sul client che sul server.in modo che la connessione possa essere stabilita in modo sicuro.

Il client è il computer da cui si apre la connessione. Il server o host è il computer a cui si sta tentando di accedere.

1. Identifica la versione e la build di Windows di entrambi i computer utilizzando winver.
2. Controlla la cronologia degli aggiornamenti.
3. Installa gli aggiornamenti applicabili a ciascuna versione tramite Windows Update o il sistema di gestione della tua organizzazione.
4. Completa i riavvii richiesti dall'installazione.
5. Prima di modificare la compatibilità di CredSSP, esegui nuovamente un test della connessione.

La vulnerabilità che ha portato a queste opzioni è identificata come CVE-2018-0886Alcune istruzioni ufficiali includono patch storiche per sistemi meno recenti: tali identificativi non dovrebbero essere trasferiti automaticamente a un'installazione corrente di Windows 11.

Se non è possibile aggiornare la destinazione perché RDP è bloccato, utilizzare l'accesso locale o una console di gestione disponibile. Per le macchine virtuali, consultare le opzioni di ripristino fornite dalla piattaforma.

Che significato hanno i valori di AllowEncryptionOracle?

La direttiva Correzione dell'oracolo di crittografia, o correzione dell'oracolo di crittografia, controlla la compatibilità con le versioni vulnerabili di CredSSP.

Di valore	Modalità	Comportamento
0	Forza l'aggiornamento dei client.	Impedisce l'utilizzo di versioni non sicure e rifiuta i client sprovvisti di aggiornamenti.
1	Attenuato.	Il client non torna a una versione non sicura, ma il server può accettare client senza aggiornarsi.
2	Vulnerabile.	Consente la compatibilità con versioni non sicure e accetta client senza aggiornamenti.

Questi valori non rappresentano tre livelli equivalenti per la risoluzione di un errore. Modificano le condizioni di sicurezza e compatibilità delle connessioni.

Prima di richiedere client aggiornati utilizzando l'opzione più restrittiva, verificare che tutti i dispositivi che devono comunicare dispongano degli aggiornamenti corrispondenti.

Come consultare la direttiva senza modificarla

Sui computer dotati di Editor Criteri di gruppo, è possibile visualizzare l'impostazione seguendo questo percorso:

Configurazione computer > Modelli amministrativi > Sistema > Delega credenziali > Correzione Oracle crittografia.

Su un computer gestito, verificare anche quale GPO o profilo di gestione imposta il valore. Una configurazione locale potrebbe essere soggetta alle policy aziendali.

Per verificare il valore del Registro di sistema senza modificarlo, apri una console ed esegui:

reg query "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\CredSSP\Parameters" /v AllowEncryptionOracle

Se il valore esiste, annota il risultato e confrontalo con i criteri applicati. Se non compare, consulta la configurazione e il comportamento effettivi di quella versione di Windows prima di creare manualmente una voce.

La query precedente non modifica la configurazione. Il suo scopo è quello di rilevare, ad esempio, se una vecchia eccezione rimane impostata in modalità Vulnerabile.

Perché AllowEncryptionOracle=2 non dovrebbe essere l'array permanente

Microsoft documenta la Modalità vulnerabile come soluzione temporanea per determinati scenari di incompatibilità. Avverte inoltre che consente connessioni non sicure ed espone il computer remoto ad attacchi.

Il fatto che una connessione funzioni dopo aver impostato il valore a 2 non significa che la vulnerabilità sia stata risolta. Il controllo di compatibilità è stato attenuato.

Se un'organizzazione deve applicare questa eccezione, deve innanzitutto documentare l'impostazione precedente, limitarne l'ambito e prepararsi ad aggiornare le apparecchiature. Successivamente, deve rimuovere l'eccezione e verificare che RDP funzioni in conformità con i criteri di protezione previsti.

È possibile controllare gli scenari e le relative condizioni nel Documentazione ufficiale Microsoft sull'errore CredSSP.

Quando verificare la connettività e le impostazioni RDP

Se il messaggio non corrisponde all'errore CredSSP o la destinazione non risponde affatto, verificare innanzitutto che il computer sia acceso, connesso e che Desktop remoto sia abilitato.

In Windows 11, l'opzione si trova in Impostazioni > Sistema > Desktop remotoLe edizioni Home non possono fungere da host per il servizio RDP integrato, sebbene possano connettersi come client ad altri computer compatibili.

L'attivazione dell'Assistenza remota è un'impostazione diversa e non sostituisce l'attivazione del Desktop remoto.

Per una connessione RDP diretta tramite la porta standard, è possibile verificare la connettività TCP da PowerShell:

Test-NetConnection -ComputerName "PC-OFICINA" -Port 3389

Sostituisce PC-OFICINA in base al nome o all'indirizzo di destinazione e utilizza la porta effettiva se è cambiata.

TcpTestSucceeded: True indica che è stata stabilita correttamente una connessione TCP a quella porta. Non garantisce che le credenziali siano corrette o che l'autenticazione RDP venga completata.

Se si utilizza un gateway RDS, verificare il routing e i requisiti specifici di tale implementazione. Esaminare le regole del firewall per l'accesso previsto, evitando di abilitare indiscriminatamente profili di rete o di esporre la porta a Internet.

Come verificare la presenza di credenziali salvate errate

Se il messaggio indica che l'account o la password non sono corretti, verificare quale identità sta utilizzando il client. È possibile che una vecchia credenziale sia ancora associata al nome o all'indirizzo del computer remoto.

1. Apri il Responsabile delle credenziali dal motore di ricerca di Windows.
2. Entra Credenziali di Windows.
3. Individuare la voce corrispondente alla destinazione interessata.
4. Se devi sostituirlo e disponi delle credenziali attuali, elimina solo quella voce.
5. Riconnettiti e inserisci l'account corretto.

Verifica inoltre se hai bisogno di un account computer locale o di un account di dominio. Rinomina gli utenti utilizzando netplwiz Questa non è la procedura per correggere una password salvata sul client.

Questo controllo riguarda problemi di identità. Non sostituisce l'aggiornamento di CredSSP quando l'avviso segnala questa incompatibilità.

Cosa verificare prima di considerare il problema risolto

Dopo aver aggiornato i sistemi e rivisto le policy, avvia una nuova sessione con l'utente che ha riscontrato il problema. Verifica di poter autenticarti senza mantenere un'eccezione non necessaria in modalità vulnerabile.

Se il problema persiste, raccogli il messaggio completo, la versione di entrambi i sistemi, gli aggiornamenti installati e le impostazioni applicate. Se viene visualizzato un avviso specifico relativo a un certificato, esaminalo seguendo le procedure di implementazione in uso.

La modifica dei certificati, la riduzione della risoluzione o l'aggiornamento dei driver di rete non dovrebbero essere parte di una sequenza automatica per ogni errore di autenticazione. Il passo successivo dovrebbe concentrarsi sul problema persistente.