Chyba CredSSP na vzdialenej pracovnej ploche: Požadovaná funkcia nie je podporovaná

Správa „Požadovaná funkcia nie je podporovaná“ vo Vzdialenej pracovnej ploche Môže sa zobraziť spolu s odkazom na opravu šifrovacej vešteckej služby CredSSP. V takom prípade by ste si mali skontrolovať aktualizácie a bezpečnostné zásady klienta aj vzdialeného počítača.

Niektoré príručky odporúčajú priamu úpravu AllowEncryptionOracle a priraďte hodnotu 2Táto zmena môže povoliť určité pripojenia, ale aktivuje režim s názvom ZraniteľnýPred použitím identifikujte chybu a skontrolujte, či je možné nekompatibilitu vyriešiť aktualizáciou oboch koncov.

Ako identifikovať chybu CredSSP vo vzdialenej pracovnej ploche

Spoločnosť Microsoft dokumentuje scenár, v ktorom pripojenie RDP zobrazuje chybu overenia, indikuje, že požadovaná funkcia nie je podporovaná a pridáva odkaz na Oprava šifrovania CredSSP Oracle.

CredSSP vám umožňuje delegovať poverenia pre vzdialené overovanie. Jeho možnosti kompatibility môžu zabrániť pripojeniam, ktoré by sa spoliehali na zraniteľné verzie protokolu.

Pred zmenou akýchkoľvek nastavení si skopírujte celú správu a všetky zobrazené kódy. Tieto situácie vyžadujú odlišnú diagnostiku:

Správa alebo príznak	Čo by ste mali skontrolovať
Požadovaná funkcia nie je podporovaná a v oznámení sa spomína CredSSP.	Smernica o aktualizáciách a opravách kryptografického Oracle.
Token odovzdaný funkcii je neplatný s kódom 0xC000000D.	Konkrétny vplyv RDP a ochrany správcu, ak zodpovedá vašim podmienkam.
Upozornenie týkajúce sa identity alebo certifikátu zariadenia.	Názov pripojenia, dôveryhodnosť a platnosť certifikátu.
Zariadenie nereaguje alebo časový limit pripojenia vypršal.	Pravidlá dostupnosti, pripojenia a prístupu k cieľu.

Pre túto diagnózu je dôležitý explicitný odkaz na CredSSP. Nepripisujte žiadnu chybu autentifikácie tejto direktíve len preto, že obsahuje slovo „funkcia“.

Aktualizácia klienta a vzdialeného tímu

V prípade zdokumentovaného scenára nekompatibility spoločnosť Microsoft odporúča Inštalácia aktualizácií CredSSP na klientovi aj serveriaby sa pripojenie dalo bezpečne nadviazať.

Klient je počítač, z ktorého otvárate pripojenie. Server alebo hostiteľ je počítač, ku ktorému sa pokúšate získať prístup.

1. Identifikujte verziu a zostavu systému Windows na oboch počítačoch pomocou winver.
2. Skontrolujte históriu jeho aktualizácií.
3. Nainštalujte aktualizácie platné pre každú verziu prostredníctvom služby Windows Update alebo systému správy vašej organizácie.
4. Dokončite reštartovania požadované inštaláciou.
5. Pred úpravou kompatibility CredSSP znova otestujte pripojenie.

Zraniteľnosť, ktorá viedla k týmto možnostiam, je identifikovaná ako CVE-2018-0886Niektoré oficiálne pokyny obsahujú historické záplaty pre staršie systémy: tieto identifikátory by sa nemali automaticky prenášať do aktuálnej inštalácie systému Windows 11.

Ak nemôžete aktualizovať cieľ, pretože je blokovaný protokol RDP, použite lokálny prístup alebo dostupnú konzolu pre správu. V prípade virtuálnych počítačov si pozrite možnosti obnovy, ktoré poskytuje vaša platforma.

Čo znamenajú hodnoty AllowEncryptionOracle?

Smernica Náprava šifrovania Oracle, alebo korekcia šifrovacej vešteckej služby, riadi kompatibilitu so zraniteľnými verziami CredSSP.

Hodnota	Režim	Správanie
0	Vynútiť aktualizáciu klientov.	Zabraňuje používaniu nezabezpečených verzií a odmieta klientov bez aktualizácií.
1	Zmiernené.	Klient sa nevráti na nezabezpečenú verziu, ale server môže prijímať klientov bez aktualizácie.
2	Zraniteľný.	Umožňuje kompatibilitu s nezabezpečenými verziami a akceptuje neaktualizovaných klientov.

Tieto hodnoty nepredstavujú tri rovnocenné úrovne na riešenie chyby. Menia podmienky zabezpečenia a kompatibility pripojení.

Predtým, ako budete od klientov vyžadovať aktualizácie pomocou najreštriktívnejšej možnosti, skontrolujte, či všetky zariadenia, ktoré potrebujú komunikovať, majú príslušné aktualizácie.

Ako si preštudovať smernicu bez jej úpravy

V počítačoch s editorom skupinových politík si môžete nastavenie skontrolovať z tejto cesty:

Konfigurácia počítača > Šablóny pre správu > Systém > Delegovanie poverení > Oprava šifrovania Oracle.

Na spravovanom počítači tiež skontrolujte, ktorý objekt GPO alebo profil správy nastavuje hodnotu. Lokálna konfigurácia môže podliehať organizačným politikám.

Ak chcete skontrolovať hodnotu v registri bez jej zmeny, otvorte konzolu a spustite:

reg query "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\CredSSP\Parameters" /v AllowEncryptionOracle

Ak hodnota existuje, poznačte si výsledok a porovnajte ho s použitou politikou. Ak sa nezobrazí, pred manuálnym vytvorením položky si pozrite skutočnú konfiguráciu a správanie danej verzie systému Windows.

Predchádzajúci dopyt nemení konfiguráciu. Jeho účelom je napríklad zistiť, či stará výnimka zostáva nastavená v režime Vulnerable.

Prečo by AllowEncryptionOracle=2 nemalo byť permanentné pole

Spoločnosť Microsoft dokumentuje zraniteľný režim ako dočasné riešenie pre určité scenáre nekompatibility. Tiež varuje, že umožňuje nezabezpečené pripojenia a vystavuje vzdialený počítač útokom.

Len preto, že pripojenie funguje po nastavení hodnoty na 2, neznamená to, že zraniteľnosť bola opravená. Kontrola kompatibility bola zmiernená.

Ak organizácia potrebuje uplatniť túto výnimku, musí najprv zdokumentovať predchádzajúce nastavenie, obmedziť jeho rozsah a pripraviť sa na aktualizáciu zariadenia. Potom musí výnimku odstrániť a overiť, či RDP funguje v súlade so zamýšľanou ochrannou politikou.

Scenáre a ich podmienky si môžete pozrieť v Oficiálna dokumentácia spoločnosti Microsoft k chybe CredSSP.

Kedy skontrolovať pripojenie a nastavenia RDP

Ak sa správa nezhoduje s chybou CredSSP alebo cieľ vôbec nereaguje, najprv skontrolujte, či je počítač zapnutý, pripojený a či má povolenú funkciu Vzdialená pracovná plocha.

V systéme Windows 11 sa táto možnosť nachádza v Nastavenia > Systém > Vzdialená pracovná plochaDomáce edície nemôžu slúžiť ako hostiteľ pre integrovanú službu RDP, hoci sa môžu pripojiť ako klienti k iným kompatibilným počítačom.

Povolenie funkcie Vzdialená pomoc je iné nastavenie a nenahrádza povolenie funkcie Vzdialená pracovná plocha.

Pre priame RDP pripojenie pomocou bežného portu môžete skontrolovať TCP pripojenie z PowerShellu:

Test-NetConnection -ComputerName "PC-OFICINA" -Port 3389

Nahrádza PC-OFICINA podľa názvu alebo adresy cieľa a použije jeho skutočný port, ak sa zmenil.

TcpTestSucceeded: True označuje, že TCP pripojenie k danému portu bolo úspešne nadviazané. Nepotvrdzuje sa tým, že poverenia sú správne alebo že bude dokončené overenie RDP.

Ak používate bránu RDS, skontrolujte smerovanie a špecifické požiadavky danej implementácie. Skontrolujte pravidlá brány firewall pre zamýšľaný prístup a vyhnite sa bezohľadnému povoľovaniu sieťových profilov alebo sprístupneniu portu internetu.

Ako skontrolovať, či nie sú uložené nesprávne prihlasovacie údaje

Ak správa naznačuje, že účet alebo heslo je nesprávne, skontrolujte, ktorú identitu klient používa. K názvu alebo adrese vzdialeného počítača môžu byť stále priradené staré poverenia.

1. Otvorte Správca poverení z vyhľadávača systému Windows.
2. Zadajte Poverenia systému Windows.
3. Vyhľadajte položku zodpovedajúcu príslušnému cieľu.
4. Ak ho potrebujete nahradiť a máte aktuálne prihlasovacie údaje, vymažte iba tento záznam.
5. Znova sa pripojte a zadajte správny účet.

Skontrolujte tiež, či potrebujete lokálny počítačový účet alebo účet domény. Premenujte používateľov pomocou netplwiz Toto nie je postup na opravu hesla uloženého v klientovi.

Táto kontrola sa týka problémov s identitou. Nenahrádza aktualizáciu CredSSP, keď upozornenie identifikuje túto nekompatibilitu.

Čo skontrolovať predtým, ako problém považujete za vyriešený

Po aktualizácii systémov a kontrole politík spustite novú reláciu s používateľom, ktorý mal problém. Overte, či sa môžete autentifikovať bez toho, aby ste museli udržiavať zbytočnú výnimku v režime Vulnerable (Zraniteľný).

Ak problém pretrváva, zhromaždite celú správu, verziu oboch systémov, všetky nainštalované aktualizácie a použité nastavenia. Ak sa zobrazí upozornenie týkajúce sa konkrétneho certifikátu, skontrolujte tento certifikát podľa postupov vašej implementácie.

Úprava certifikátov, zníženie rozlíšenia alebo aktualizácia sieťových ovládačov by nemali byť súčasťou automatickej sekvencie pre každú chybu overenia. Ďalší krok by mal riešiť pretrvávajúci príznak.