Microsoft hat eine Änderung zur Windows-Sicherheitshärtung eingeführt, die das standardmäßige Kerberos-Verschlüsselungsverhalten ab dem kumulativen Windows-Update vom April 2026 aktualisiert. Diese Änderung soll die Sicherheit verbessern, indem sie von veralteten Kerberos-Verschlüsselungsmethoden wie RC4 abweicht. Unter dem neuen Verhalten verwendet Windows bei nicht festgelegten (null) Kerberos-Verschlüsselungseinstellungen für ein Active Directory-Objekt nun standardmäßig AES-SHA1 anstelle von veralteten Standards, die häufig zur Verwendung von RC4 führten. Dies ist eine Änderung der Windows-Plattform. Der Azure Virtual Desktop (AVD)-Dienst selbst wird nicht geändert.
Es wird erwartet, dass die meisten Kunden nicht betroffen sind.
Diese Änderung betrifft nur Kunden, die explizit RC4-Verschlüsselung für Active Directory-Objekte konfiguriert haben, die für Kerberos-basierten SMB-Zugriff verwendet werden (zum Beispiel FSLogix-Profilspeicher).
-
Standardmäßig verwendet Windows AES-128 oder AES-256, was vollständig unterstützt wird und nicht betroffen ist.
-
Unsere technische Überprüfung bestätigt, dass typische Kundenspeicherkonten bereits für die Verwendung von AES-256 konfiguriert sind.
-
Es ist keine Aktion erforderlich, wenn Sie RC4-Verschlüsselung nicht explizit festgelegt haben.
Sie können nur dann Probleme feststellen, wenn RC4 absichtlich erzwungen wurde. In diesem Fall kann die Kerberos-Authentifizierung für SMB-Speicher fehlschlagen, sobald RC4 deaktiviert ist, es sei denn, die Konfiguration wird aktualisiert, um AES-SHA1 zu unterstützen. Da RC4-only-Konfigurationen selten sind, wird dies voraussichtlich ein Sonderfall sein. Wir empfehlen jedoch, Ihre Konfiguration zu überprüfen, um unerwartete Unterbrechungen zu vermeiden.
-
April 2026 – Durchsetzungsphase (manuelles Rollback verfügbar)
Das Standard-Kerberos-Verhalten ändert sich, sodass Domänencontroller für Konten mit Null-Verschlüsselungseinstellungen ausschließlich AES-SHA1-Verschlüsselung verwenden. Der Durchsetzungsmodus ist standardmäßig aktiviert. Der Audit-Modus bleibt als manuelle Rollback-Option verfügbar.
-
Juli 2026 – Durchsetzungsphase (endgültig)
Der Audit-Modus wird entfernt, sodass der Durchsetzungsmodus das einzige unterstützte Verhalten bleibt.
Für die meisten Kunden sind keine sofortigen Änderungen erforderlich. Wir empfehlen eine kurze Überprüfung, um sicherzustellen, dass Ihre Umgebung keine veraltete Kerberos-Verschlüsselung (RC4) verwendet.
1. Ermitteln Sie, ob RC4 derzeit verwendet wird
Verwenden Sie die Microsoft-Anleitung, um die Kerberos-Authentifizierungsaktivität zu auditieren und festzustellen, ob RC4 irgendwo in Ihrer Umgebung noch verwendet wird.
Microsoft stellt PowerShell-Skripte und ereignisprotokollbasierte Überprüfungen bereit, um:
-
Kerberos-Tickets zu erkennen, die RC4 verwenden
-
Die betroffenen Konten, Dienste oder Systeme zu identifizieren
2. Überprüfen Sie die Verschlüsselungseinstellungen für betroffene Active Directory-Objekte
Wenn RC4-Nutzung erkannt wird, überprüfen Sie die zugehörigen Active Directory-Objekte (wie Dienst- oder Speicherkonten, die für den SMB-Zugriff verwendet werden), um sicherzustellen, dass sie moderne Verschlüsselung unterstützen.
Insbesondere:
-
Überprüfen Sie, ob Verschlüsselungseinstellungen explizit definiert sind
-
Bestätigen Sie, dass AES-basierte Verschlüsselung (AES-SHA1 / AES-128 / AES-256) unterstützt und bevorzugt wird
Wenn bei der Auditierung keine RC4-Nutzung festgestellt wird, ist in der Regel keine weitere Aktion erforderlich.
3. Aktualisieren Sie die Konfiguration nur, wenn RC4-Nutzung gefunden wird
Wenn die Auditierung zeigt, dass RC4 weiterhin verwendet wird:
-
Aktualisieren Sie das entsprechende Active Directory-Konto oder das abhängige System, um AES-basierte Kerberos-Verschlüsselung zu unterstützen
-
Überprüfen Sie die erfolgreiche Authentifizierung und den Zugriff auf SMB-Speicher (einschließlich FSLogix-Profilcontainer)
Microsoft empfiehlt, die Korrekturmaßnahme für betroffene Konfigurationen abzuschließen, bevor der Erzwingungsmodus obligatorisch wird.
Kommentare (0 Kommentare)