- Napaka CredSSP in žetona 0xC000000D zahtevata različno diagnostiko.
- Microsoft priporoča posodobitev tako odjemalca kot strežnika.
- AllowEncryptionOracle=2 omogoča ranljivo združljivost.
- Oddaljena pomoč in oddaljeno namizje imata različni konfiguraciji.
Sporočilo »Zahtevana funkcija ni podprta« v oddaljenem namizju Morda se prikaže skupaj s sklicevanjem na popravek šifrirnega oraklja CredSSP. V tem primeru morate pregledati posodobitve in varnostne pravilnike tako odjemalca kot oddaljenega računalnika.
Nekateri vodniki priporočajo neposredno spreminjanje AllowEncryptionOracle in dodelite vrednost 2Ta sprememba morda dovoljuje določene povezave, vendar aktivira način, imenovan RanljivPred uporabo ugotovite napako in preverite, ali lahko nezdružljivost odpravite s posodobitvijo obeh koncev.
Kako prepoznati napako CredSSP v oddaljenem namizju
Microsoft dokumentira scenarij, v katerem povezava RDP prikaže napako pri preverjanju pristnosti, nakaže, da zahtevana funkcija ni podprta, in doda sklic na Sanacija šifriranja CredSSP Oracle.
CredSSP vam omogoča, da delegirate poverilnice za oddaljeno preverjanje pristnosti. Njegove možnosti združljivosti lahko preprečijo povezave, ki bi se zanašale na ranljive različice protokola.
Preden spremenite kakršne koli nastavitve, kopirajte celotno sporočilo in vse prikazane kode. Te situacije zahtevajo drugačno diagnostiko:
| Sporočilo ali simptom | Kaj morate preveriti |
|---|---|
| Zahtevana funkcija ni podprta in obvestilo omenja CredSSP. | Direktiva o posodobitvah in popravkih kriptografskega orakla. |
| Žeton, posredovan funkciji, je neveljaven, s kodo 0xC000000D. | Specifičen vpliv RDP in skrbniške zaščite, če ustreza vašim pogojem. |
| Opozorilo o identiteti ali certifikatu opreme. | Ime povezave, zaupanje in veljavnost potrdila. |
| Naprava se ne odziva ali pa je povezava prekinjena. | Razpoložljivost cilja, povezljivost in pravila dostopa. |
Za to diagnozo je pomembna izrecna omemba CredSSP. Ne pripisujte nobene napake pri preverjanju pristnosti tej direktivi zgolj zato, ker vsebuje besedo "funkcija".
Posodobite odjemalca in oddaljeno ekipo
Za dokumentiran scenarij nezdružljivosti Microsoft priporoča Namestitev posodobitev CredSSP na odjemalca in strežnikda se lahko povezava varno vzpostavi.
Odjemalec je računalnik, s katerega odprete povezavo. Strežnik ali gostitelj je računalnik, do katerega poskušate dostopati.
- Določite različico in gradnjo sistema Windows na obeh računalnikih z uporabo
winver. - Preverite zgodovino posodobitev.
- Namestite posodobitve, ki veljajo za posamezno različico, prek storitve Windows Update ali sistema za upravljanje vaše organizacije.
- Dokončajte ponovne zagone, ki jih zahteva namestitev.
- Preden spremenite združljivost CredSSP, ponovno preizkusite povezavo.
Ranljivost, ki je privedla do teh možnosti, je opredeljena kot CVE-2018-0886Nekatera uradna navodila vključujejo zgodovinske popravke za starejše sisteme: teh identifikatorjev ne smete samodejno prenesti v trenutno namestitev sistema Windows 11.
Če cilja ne morete posodobiti, ker je RDP blokiran, uporabite lokalni dostop ali razpoložljivo konzolo za upravljanje. Za virtualne stroje preverite možnosti obnovitve, ki jih ponuja vaša platforma.
Kaj pomenijo vrednosti AllowEncryptionOracle?
Direktiva Sanacija šifriranja Oracle, ali popravek šifrirnega oraklja, nadzoruje združljivost z ranljivimi različicami CredSSP.
| Vredno | Način | Vedenje |
|---|---|---|
| 0 | Vsiljeno posodobljene odjemalce. | Preprečuje uporabo nezaščitenih različic in zavrača odjemalce brez posodobitev. |
| 1 | Ublaženo. | Odjemalec se ne vrne na nezaščiteno različico, vendar lahko strežnik sprejema odjemalce brez posodabljanja. |
| 2 | Ranljiv/a. | Omogoča združljivost z nezaščitenimi različicami in sprejema odjemalce brez posodobitev. |
Te vrednosti ne predstavljajo treh enakovrednih ravni za odpravljanje napake. Spreminjajo varnostne in združljivostne pogoje povezav.
Preden zahtevate posodobljene odjemalce z uporabo najbolj omejujoče možnosti, preverite, ali imajo vse naprave, ki morajo komunicirati, ustrezne posodobitve.
Kako si ogledati direktivo, ne da bi jo spremenili
V računalnikih, ki imajo urejevalnik pravilnikov skupine, lahko nastavitve pregledate na tej poti:
Konfiguracija računalnika > Skrbniške predloge > Sistem > Delegiranje poverilnic > Popravek za šifriranje Oracle.
V upravljanem računalniku preverite tudi, kateri GPO ali upravljalni profil nastavi vrednost. Za lokalno konfiguracijo lahko veljajo organizacijski pravilniki.
Če želite preveriti vrednost registra, ne da bi jo spremenili, odprite konzolo in zaženite:
reg query "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\CredSSP\Parameters" /v AllowEncryptionOracleČe vrednost obstaja, si zabeležite rezultat in ga primerjajte z uporabljenim pravilnikom. Če se ne prikaže, preden ročno ustvarite vnos, preverite dejansko konfiguracijo in delovanje te različice sistema Windows.
Prejšnja poizvedba ne spremeni konfiguracije. Njen namen je na primer zaznati, ali je stara izjema še vedno nastavljena v ranljivem načinu.
Zakaj AllowEncryptionOracle=2 ne bi smel biti stalni niz
Microsoft dokumentira ranljiv način kot začasno rešitev za določene scenarije nezdružljivosti. Prav tako opozarja, da omogoča nezaščitene povezave in oddaljeni računalnik izpostavlja napadom.
Samo zato, ker povezava deluje po nastavitvi vrednosti na 2, še ne pomeni, da je bila ranljivost odpravljena. Preverjanje združljivosti je bilo sproščeno.
Če mora organizacija uporabiti to izjemo, mora najprej dokumentirati prejšnjo nastavitev, omejiti njen obseg in se pripraviti na posodobitev opreme. Nato mora odstraniti izjemo in preveriti, ali RDP deluje v skladu z načrtovano politiko zaščite.
Scenarije in njihove pogoje lahko preverite v Uradna Microsoftova dokumentacija o napaki CredSSP.
Kdaj preveriti povezljivost in nastavitve RDP
Če sporočilo ne ustreza napaki CredSSP ali se cilj sploh ne odzove, najprej preverite, ali je računalnik vklopljen, povezan in ali ima omogočeno oddaljeno namizje.
V sistemu Windows 11 se možnost nahaja v Nastavitve > Sistem > Oddaljeno namizjeDomače izdaje ne morejo delovati kot gostitelj za integrirano storitev RDP, čeprav se lahko kot odjemalci povežejo z drugimi združljivimi računalniki.
Omogočanje oddaljene pomoči je drugačna nastavitev in ne nadomesti omogočanja oddaljenega namizja.
Za neposredno povezavo RDP z uporabo običajnih vrat lahko preverite povezljivost TCP iz PowerShella:
Test-NetConnection -ComputerName "PC-OFICINA" -Port 3389Zamenja PC-OFICINA po imenu ali naslovu cilja in uporabi njegova dejanska vrata, če se je to spremenilo.
TcpTestSucceeded: True označuje, da je bila TCP povezava s temi vrati uspešno vzpostavljena. Ne potrjuje, da so poverilnice pravilne ali da bo preverjanje pristnosti RDP zaključeno.
Če uporabljate prehod RDS, preverite usmerjanje in posebne zahteve te implementacije. Preglejte pravila požarnega zidu za predvideni dostop in se izogibajte neselektivnemu omogočanju omrežnih profilov ali izpostavljanju vrat internetu.
Kako preveriti, ali so shranjene napačne poverilnice
Če sporočilo navaja, da je račun ali geslo napačno, preverite, katero identiteto uporablja odjemalec. Z imenom ali naslovom oddaljenega računalnika je morda še vedno povezana stara poverilnica.
- Odprite Upravitelj poverilnic iz iskalnika Windows.
- Vnesite Poverilnice za Windows.
- Poiščite vnos, ki ustreza prizadetemu cilju.
- Če ga morate zamenjati in imate trenutne poverilnice, izbrišite samo ta vnos.
- Ponovno se povežite in vnesite pravilen račun.
Preverite tudi, ali potrebujete lokalni računalniški račun ali domenski račun. Preimenujte uporabnike z netplwiz To ni postopek za popravljanje gesla, shranjenega v odjemalcu.
To preverjanje se nanaša na težave z identiteto. Ne nadomesti posodobitve CredSSP, ko opozorilo ugotovi to nezdružljivost.
Kaj je treba preveriti, preden težavo smatrate za rešeno
Po posodobitvi sistemov in pregledu pravilnikov začnite novo sejo z uporabnikom, ki je imel težavo. Preverite, ali lahko overite napravo, ne da bi pri tem vzdrževali nepotrebno izjemo v ranljivem načinu.
Če težava še vedno obstaja, zberite celotno sporočilo, različico obeh sistemov, vse nameščene posodobitve in uporabljene nastavitve. Če se prikaže opozorilo, specifično za potrdilo, preglejte to potrdilo v skladu s postopki vaše implementacije.
Spreminjanje potrdil, zmanjšanje ločljivosti ali posodabljanje omrežnih gonilnikov ne bi smelo biti del samodejnega zaporedja za vsako napako pri preverjanju pristnosti. Naslednji korak bi moral odpraviti vztrajni simptom.
Sem tehnološki navdušenec, ki je svoja "geek" zanimanja spremenil v poklic. Več kot 10 let svojega življenja sem porabil za uporabo vrhunske tehnologije in premleval najrazličnejše programe iz čiste radovednosti. Zdaj sem se specializiral za računalniško tehnologijo in video igre. To je zato, ker že več kot 5 let pišem za različna spletna mesta o tehnologiji in video igrah ter ustvarjam članke, ki vam želijo dati informacije, ki jih potrebujete, v jeziku, ki je razumljiv vsem.
Če imate kakršna koli vprašanja, moje znanje sega od vsega v zvezi z operacijskim sistemom Windows kot tudi Androidom za mobilne telefone. In moja zaveza je vam, vedno sem pripravljen porabiti nekaj minut in vam pomagati razrešiti kakršna koli vprašanja, ki jih morda imate v tem internetnem svetu.