Uzak Masaüstü bağlantısında CredSSP hatası: İstenen özellik desteklenmiyor.

Mesaj Uzak Masaüstü'nde "İstenen işlev desteklenmiyor" Bu durum, CredSSP şifreleme oracle düzeltmesine ilişkin bir referansla birlikte görünebilir. Bu durumda, hem istemci hem de uzak makinenin güncellemelerini ve güvenlik politikalarını gözden geçirmeniz gerekir.

Bazı kılavuzlar doğrudan değişiklik yapılmasını önermektedir. AllowEncryptionOracle ve değeri atayın 2Bu değişiklik belirli bağlantılara izin verebilir, ancak "mod" adı verilen bir modu etkinleştirir. HassasKullanmadan önce hatayı belirleyin ve her iki tarafı da güncelleyerek uyumsuzluğu giderip gideremeyeceğinizi kontrol edin.

Uzak Masaüstü bağlantısında CredSSP hatasını nasıl tespit edebilirim?

Microsoft, RDP bağlantısının kimlik doğrulama hatası gösterdiği, istenen işlevin desteklenmediğini belirttiği ve şu hususa atıfta bulunduğu bir senaryoyu belgeliyor: CredSSP şifreleme oracle düzeltmesi.

CredSSP, uzaktan kimlik doğrulama için kimlik bilgilerini devretmenize olanak tanır. Uyumluluk seçenekleri, protokolün savunmasız sürümlerine dayanan bağlantıları engelleyebilir.

Ayarları değiştirmeden önce, mesajın tamamını ve görünen tüm kodları kopyalayın. Bu durumlar farklı teşhis yöntemleri gerektirir:

Mesaj veya belirti	Kontrol etmeniz gerekenler
İstenen işlev desteklenmiyor ve uyarıda CredSSP'den bahsediliyor.	Kriptografik Oracle Güncellemeleri ve Düzeltme Yönergesi.
Fonksiyona iletilen belirteç geçersizdir ve hata kodu 0xC000000D'dir.	RDP ve Yönetici Koruması'nın, koşullarınıza uygun olması durumunda, özel etkileri.
Ekipmanın kimliği veya sertifikasıyla ilgili uyarı.	Bağlantı adı, güven düzeyi ve sertifika geçerliliği.
Cihaz yanıt vermiyor veya bağlantı zaman aşımına uğruyor.	Hedefin kullanılabilirliği, bağlantı ve erişim kuralları.

CredSSP'ye yapılan açık atıf, bu teşhis için önemlidir. Yalnızca "işlev" kelimesini içerdiği için bu yönergeye herhangi bir kimlik doğrulama hatası atfetmeyin.

Müşteriyi ve uzaktan çalışan ekibi bilgilendirin.

Belgelenen uyumsuzluk senaryosu için Microsoft şunları önermektedir: Hem istemci hem de sunucuya CredSSP güncellemelerini yükleyin.Böylece bağlantı güvenli bir şekilde kurulabilir.

İstemci, bağlantıyı açtığınız bilgisayardır. Sunucu veya ana bilgisayar ise erişmeye çalıştığınız bilgisayardır.

1. Aşağıdaki yöntemle her iki bilgisayarın Windows sürümünü ve yapısını belirleyin. winver.
2. Güncelleme geçmişini kontrol edin.
3. Her sürüm için geçerli olan güncellemeleri Windows Update veya kuruluşunuzun yönetim sistemi aracılığıyla yükleyin.
4. Kurulum tarafından istenen yeniden başlatma işlemlerini tamamlayın.
5. CredSSP uyumluluğunu değiştirmeden önce bağlantıyı tekrar test edin.

Bu seçeneklere yol açan zafiyet şu şekilde tanımlanmıştır: CVE-2018-0886Bazı resmi talimatlar, eski sistemler için geçmişe ait yamalar içermektedir: bu tanımlayıcılar, mevcut bir Windows 11 kurulumuna otomatik olarak aktarılmamalıdır.

RDP engellendiği için hedefi güncelleyemiyorsanız, yerel erişimi veya kullanılabilir bir yönetim konsolunu kullanın. Sanal makineler için, platformunuzun sağladığı kurtarma seçeneklerine bakın.

AllowEncryptionOracle değerleri ne anlama geliyor?

Yönerge Şifreleme Oracle DüzeltmesiVeya şifreleme oracle düzeltmesi, CredSSP'nin güvenlik açığı bulunan sürümleriyle uyumluluğu kontrol eder.

Değer	Mod	Davranış
0	Güncellenmiş istemcileri zorla güncelle.	Güvenli olmayan sürümlerin kullanımını engeller ve güncellemeleri olmayan istemcileri reddeder.
1	Azaltıldı.	İstemci güvensiz bir sürüme geri dönmez, ancak sunucu güncelleme yapmadan istemcileri kabul edebilir.
2	Hassas.	Güvenli olmayan sürümlerle uyumluluğa izin verir ve güncelleme gerektirmeyen istemcileri kabul eder.

Bu değerler, bir hatanın giderilmesi için üç eşdeğer seviyeyi temsil etmez. Bağlantıların güvenlik ve uyumluluk koşullarını değiştirirler.

En kısıtlayıcı seçeneği kullanarak güncellenmiş istemcileri talep etmeden önce, iletişim kurması gereken tüm cihazların ilgili güncellemelere sahip olduğundan emin olun.

Yönergeyi değiştirmeden nasıl inceleyebilirim?

Grup İlkesi Düzenleyicisi bulunan bilgisayarlarda, ayarı şu yoldan inceleyebilirsiniz:

Bilgisayar Yapılandırması > Yönetim Şablonları > Sistem > Kimlik Bilgisi Yetkilendirmesi > Şifreleme Oracle Düzeltmesi.

Yönetilen bir bilgisayarda, değeri hangi GPO'nun veya yönetim profilinin ayarladığını da kontrol edin. Yerel bir yapılandırma, kurumsal politikalara tabi olabilir.

Kayıt defteri değerini değiştirmeden kontrol etmek için bir konsol açın ve şu komutu çalıştırın:

reg query "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\CredSSP\Parameters" /v AllowEncryptionOracle

Değer mevcutsa, sonucu not edin ve uygulanan politikayla karşılaştırın. Görünmüyorsa, manuel olarak bir giriş oluşturmadan önce Windows'un o sürümünün gerçek yapılandırmasını ve davranışını inceleyin.

Önceki sorgu yapılandırmayı değiştirmez. Amacı, örneğin, eski bir istisnanın Güvenlik Açığı modunda kalıp kalmadığını tespit etmektir.

AllowEncryptionOracle=2'nin neden kalıcı bir dizi olmaması gerektiği

Microsoft, Güvenlik Açığı Modu'nu belirli uyumsuzluk senaryoları için geçici bir çözüm olarak belgelendiriyor. Ayrıca, bu modun güvensiz bağlantılara izin verdiğini ve uzaktaki bilgisayarı saldırılara açık hale getirdiğini de belirtiyor.

Değeri 2 olarak ayarladıktan sonra bağlantının çalışması, güvenlik açığının giderildiği anlamına gelmez. Uyumluluk kontrolü gevşetildi.

Bir kuruluşun bu istisnayı uygulaması gerekiyorsa, öncelikle önceki ayarı belgelemeli, kapsamını sınırlamalı ve ekipmanı güncellemeye hazırlanmalıdır. Ardından, istisnayı kaldırmalı ve RDP'nin amaçlanan koruma politikasına uygun olarak çalıştığını doğrulamalıdır.

Senaryoları ve koşullarını şuradan inceleyebilirsiniz: CredSSP hatasıyla ilgili resmi Microsoft belgeleri.

RDP bağlantısını ve ayarlarını ne zaman kontrol etmelisiniz?

Mesaj CredSSP hatasıyla eşleşmiyorsa veya hedef hiç yanıt vermiyorsa, öncelikle bilgisayarın açık, bağlı ve Uzaktan Masaüstü özelliğinin etkinleştirilmiş olduğundan emin olun.

Windows 11'de bu seçenek şu konumda bulunur: Ayarlar > Sistem > Uzaktan MasaüstüEv sürümleri, entegre RDP hizmeti için sunucu görevi göremez, ancak diğer uyumlu bilgisayarlara istemci olarak bağlanabilirler.

Uzaktan Yardım özelliğini etkinleştirmek farklı bir ayardır ve Uzaktan Masaüstü özelliğini etkinleştirmenin yerini almaz.

Normal bağlantı noktası kullanılarak yapılan doğrudan RDP bağlantısı için, PowerShell üzerinden TCP bağlantısını kontrol edebilirsiniz:

Test-NetConnection -ComputerName "PC-OFICINA" -Port 3389

Yerine geçer PC-OFICINA Hedef adı veya adresine göre işlem yapar ve değişmişse gerçek port numarasını kullanır.

TcpTestSucceeded: True Bu, belirtilen porta TCP bağlantısının başarıyla kurulduğunu gösterir. Bu, kimlik bilgilerinin doğru olduğunu veya RDP kimlik doğrulamasının tamamlanacağını teyit etmez.

Eğer bir RDS ağ geçidi kullanıyorsanız, bu uygulamanın yönlendirme ve özel gereksinimlerini kontrol edin. Hedeflenen erişim için güvenlik duvarı kurallarını gözden geçirin ve ağ profillerini rastgele etkinleştirmekten veya bağlantı noktasını internete açmaktan kaçının.

Kaydedilmiş kimlik bilgilerinin hatalı olup olmadığını nasıl kontrol edebilirim?

Mesajda hesap veya parolanın yanlış olduğu belirtiliyorsa, istemcinin hangi kimliği kullandığını kontrol edin. Uzak bilgisayarın adı veya adresiyle hala eski bir kimlik bilgisi ilişkilendirilmiş olabilir.

1. Açın Kimlik Bilgisi Yöneticisi Windows arama motorundan.
2. Girmek Windows Kimlik Bilgileri.
3. İlgili hedefe karşılık gelen girişi bulun.
4. Değiştirmeniz gerekiyorsa ve mevcut kimlik bilgilerine sahipseniz, yalnızca o girişi silin.
5. Yeniden bağlanın ve doğru hesabı girin.

Ayrıca yerel bilgisayar hesabına mı yoksa etki alanı hesabına mı ihtiyacınız olduğunu da kontrol edin. Kullanıcıları yeniden adlandırmak için şunu kullanın: netplwiz Bu, istemcide kayıtlı bir şifreyi düzeltme prosedürü değildir.

Bu kontrol kimlik doğrulama sorunlarıyla ilgilidir. Uyarı bu uyumsuzluğu belirttiğinde CredSSP'yi güncellemenin yerini almaz.

Sorunun çözüldüğünü düşünmeden önce nelere dikkat edilmeli?

Sistemleri güncelledikten ve politikaları gözden geçirdikten sonra, sorun yaşayan kullanıcıyla yeni bir oturum başlatın. Güvenlik açığı olan modda gereksiz bir istisna oluşturmadan kimlik doğrulamasının yapılabildiğini doğrulayın.

Sorun devam ederse, tam mesajı, her iki sistemin sürümünü, yüklü güncellemeleri ve uygulanan ayarları toplayın. Sertifikaya özgü bir uyarı görünürse, uygulamanızın prosedürlerini izleyerek o sertifikayı inceleyin.

Sertifikaları değiştirmek, çözünürlüğü düşürmek veya ağ sürücülerini güncellemek, her kimlik doğrulama hatası için otomatik bir işlem dizisinin parçası olmamalıdır. Bir sonraki adım, kalıcı belirtiyi ele almak olmalıdır.