Microsoft-Sicherheitsempfehlung (973811)

Zweck dieser Sicherheitsempfehlung: Diese Empfehlung wurde veröffentlicht, um Endbenutzern die Veröffentlichung eines nicht sicherheitsrelevanten Updates anzukündigen, das eine neue Funktion, den erweiterten Authentifizierungsschutz, auf der Windows-Plattform zur Verfügung stellt.

Status der Empfehlung: Die Empfehlung wurde veröffentlicht.

Empfehlung: Lesen Sie die Vorschläge und führen Sie die entsprechenden Maßnahmen durch.

Diese Empfehlung kündigt die Veröffentlichung dieser Funktion für die folgenden Plattformen an:

Was genau umfasst diese Empfehlung?
Microsoft hat diese Empfehlung veröffentlicht, um die Veröffentlichung einer neuen Funktion, „Erweiterter Authentifizierungsschutz“, als Update für die Windows SSPI anzukündigen, die die Weiterleitung von Adressanmeldeinformation unterstützt.

Ist dies eine Sicherheitsanfälligkeit, für die ein Sicherheitsupdate von Microsoft erforderlich ist?
Nein, dies ist keine Sicherheitsanfälligkeit, für die ein Sicherheitsupdate von Microsoft erforderlich ist. Diese Funktion ist eine optionale Konfiguration, die einige Endbenutzer u. U. bereitstellen möchten. Sie ist nicht für alle Endbenutzer geeignet. Weitere Informationen zu dieser Funktion und der entsprechenden Konfiguration finden Sie im Microsoft Knowledge Base-Artikel 973811. Diese Funktion ist bereits in Windows 7 und Windows Server 2008 R2 enthalten.

Was ist der erweiterte Schutz für Windows-Authentifizierung?
Das Update im Microsoft Knowledge Base-Artikel 968389 ändert die SSPI, um die Funktionsweise der Windows-Authentifizierung zu verbessern, damit Anmeldeinformationen nicht einfach weitergeleitet werden, wenn die Integrierte Windows-Authentifizierung (IWA) aktiviert ist.

Wenn der erweiterte Authentifizierungsschutz aktiviert ist, sind Authentifizierungsanforderungen sowohl an den SPN (Service Principal Name) des Servers gebunden, mit dem der Client eine Verbindung herzustellen versucht, als auch an den äußeren TLS-Kanal (Transport Layer Security), über den die IWA-Authentifizierung stattfindet. Dies ist ein Basisupdate, das Anwendungen die Aktivierung der neuen Funktion ermöglicht.

In zukünftigen Updates werden einzelne Systemkomponenten geändert, die die IWA-Authentifizierung durchführen, damit die Komponenten diesen Schutzmechanismus verwenden. Endbenutzer müssen sowohl das Update aus dem Microsoft Knowledge Base-Artikel 968389 als auch die jeweiligen anwendungsspezifischen Updates für die Clientanwendungen und Server installieren, auf denen der erweiterte Authentifizierungsschutz aktiviert werden muss. Bei der Installation wird der erweiterte Authentifizierungsschutz auf dem Client durch die Verwendung von Registrierungsschlüsseln kontrolliert. Auf dem Server ist die Konfiguration anwendungsspezifisch.

Welche anderen Schritte unternimmt Microsoft, um diese Funktion zu implementieren?

Änderungen müssen an bestimmten Server- und Clientanwendungen vorgenommen werden, die die Integrierte Windows-Authentifizierung (IWA) verwenden, um sicherzustellen, dass diese die neue Schutztechnologie aktivieren.

Die am 11. August 2009 von Microsoft veröffentlichten Updates umfassen:

Das am 13. Oktober 2009 von Microsoft veröffentlichte Update ist:

Microsoft plant, die Abdeckung auszudehnen, indem zukünftige Updates veröffentlicht werden, bei denen zusätzliche Server- und Clientanwendungen von Microsoft in diese Schutzmechanismen einbezogen werden. Diese Sicherheitsempfehlung wird mit aktualisierten Informationen überarbeitet, wenn solche Updates veröffentlicht werden.

Wie können Entwickler diese Schutztechnologie in ihre Anwendungen einbetten?

Entwickler finden weitere Informationen zur Verwendung des erweiterten Authentifizierungsschutzes im folgenden MSDN-Artikel: Integrierte Windows-Authentifizierung mit erweitertem Authentifizierungsschutz.

Wie aktiviere ich diese Funktion?

Auf dem Client müssen Benutzer die folgenden Registrierungsschlüsseleinstellungen implementieren.

Ausführliche Anweisungen um Aktivieren dieses Registrierungsschlüssels finden Sie im Microsoft Knowledge Base-Artikel 968389.

Auf dem Server muss der erweiterte Authentifizierungsschutz für jeden Dienst einzeln aktiviert werden. Im folgenden Überblick wird gezeigt, wie der erweiterte Authentifizierungsschutz für die gemeinsamen Protokolle aktiviert wird, für die es derzeit verfügbar ist:

Telnet (KB 960859)

Für Telnet kann der erweiterte Authentifizierungsschutz auf dem Server aktiviert werden, indem der DWORD-Registrierungsschlüssel HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\TelnetServer\1.0\ExtendedProtection erstellt wird. Der Standardwert dieses Schlüssels lautet „Legacy“. Setzen Sie den Schlüssel auf einen der folgenden Werte:

Ausführliche Anweisungen zum Erstellen dieses Registrierungsschlüssels finden Sie im Microsoft Knowledge Base-Artikel 960859.

Was sollte ich beim Bereitstellen von erweitertem Authentifizierungsschutz wissen?

Benutzer müssen das in Microsoft Knowledge Base-Artikel 968389 enthaltene Update sowie die jeweiligen Anwendungsupdates auf Client- und Servercomputern installieren und beide Computer ordnungsgemäß konfigurieren, um den Schutzmechanismus zu verwenden, mit dem sie gegen Angriffe durch die Weiterleitung von Anmeldeinformationen geschützt sind.

Wenn der erweiterte Authentifizierungsschutz auf dem Client aktiviert ist, ist er für alle Anwendungen aktiviert, die IWA verwenden. Auf dem Server jedoch muss der Schutz für jede Anwendung einzeln aktiviert werden.

Weshalb ist dies kein Sicherheitsupdate, das in einem Security Bulletin angekündigt wird?  
Dieses Update implementiert eine neue Funktion, deren Aktivierung möglicherweise nicht für alle Endbenutzer geeignet ist. Es stellt eine zusätzliche Sicherheitsfunktion bereit, die Endbenutzer möglicherweise bereitstellen möchten, entsprechend ihres bestimmten Szenarios.

Dies ist eine Sicherheitsempfehlung bezüglich eines nicht sicherheitsrelevanten Sicherheitsupdates. Ist das nicht ein Widerspruch?  
Sicherheitsempfehlungen behandeln Sicherheitsänderungen, die nicht unbedingt ein Security Bulletin erfordern, die sich aber dennoch auf die Gesamtsicherheit von Benutzern auswirken können. Sicherheitsempfehlungen sind eine Möglichkeit für Microsoft, Benutzern sicherheitsbezogene Informationen zu Problemen mitzuteilen, die nicht als Sicherheitsanfälligkeiten klassifiziert werden können und nicht unbedingt ein Security Bulletin erfordern, oder zu Problemen, für die kein Security Bulletin veröffentlicht worden ist. Im vorliegenden Fall teilen wir die Verfügbarkeit eines Updates mit, das keine bestimmte Sicherheitsanfälligkeit behebt, sondern vielmehr Ihre Gesamtsicherheit beeinflusst.

Wie wird dieses Update angeboten?  
Diese Sicherheitsupdates sind im Microsoft Download Center verfügbar. Direkte Verknüpfungen zu den Updates für bestimmte betroffene Software sind in der Tabelle "Betroffene Software" im Abschnitt Übersicht aufgeführt. Weitere Informationen zum Update und den Verhaltensänderungen finden Sie im Microsoft Knowledge Base-Artikel 968389.

Wird dieses Sicherheitsupdate im Rahmen von Automatischen Updates angeboten?  
Ja. Diese Updates werden über die Automatischen Updates angeboten.

Für welche Versionen von Windows gilt diese Empfehlung?  
Die in dieser Empfehlung behandelte Funktion wird für alle Plattformen zur Verfügung gestellt, die in der Übersicht „Betroffene Software“ aufgeführt werden. Diese Funktion ist in allen Veröffentlichungen von Windows 7 und Windows Server 2008 R2 vorhanden.