I-off ang setting ng AllowNT4Crypto sa lahat ng mga apektadong domain controller

Bakit Isaalang-alang ito

Ang pagpapahintulot sa mga lumang algorithm ng cryptography ng NT4 ay maaaring maging isang malubhang panganib sa seguridad at maaaring maging isang senyas na sa kapaligiran ay maaaring mayroon pa ring luma at hindi ligtas na hardware o software na ginagamit (tulad ng NT4 o mas lumang mga kliyente ng SAMBA SMB). Lahat ng kasalukuyang suportado na OS ay hindi na iginagalang ang setting na ito.

Panoorin ang isang Customer Engineer na nagpapaliwanag ng isyu

Konteksto at Pinakamahusay na Kasanayan

Bilang default, ipinagbabawal ng Windows Server 2008 o mas bago ang mga kliyente na nagpapatakbo ng mga operating system na hindi Microsoft o mga operating system ng Windows NT 4.0 upang magtatag ng mga secure na channel gamit ang mahinang mga algorithm ng cryptography ng estilo ng Windows NT 4.0. Ang anumang operasyon na nakasalalay sa channel ng seguridad na sinimulan ng mga kliyente na nagpapatakbo ng mga mas lumang bersyon ng operating system ng Windows o nagpapatakbo ng mga operating system na hindi Microsoft na hindi sumusuporta sa malakas na mga algorithm ng cryptographic ay mabibigo laban sa isang domain controller na nagpapatakbo ng Windows Server 2008, Windows Server 2008 R2 o Windows Server 2012 na may mga default na setting.

Ang Windows Server 2008 R2 at mas bago ay hindi sumusuporta sa mga relasyon sa pagtitiwala sa Windows NT 4.0 kahit na ginagamit ang setting ng NT4Crypto. Kasama sa limitasyong ito ngunit hindi limitado sa mga sumusunod na secure na operasyon ng channel: - Pagtatatag at pagpapanatili ng mga relasyon sa pagtitiwala - Sumali sa Domain - Pagpapatunay ng domain - Mga sesyon ng SMB

Mga Iminungkahing Pagkilos

Upang matugunan ang isyung ito, magsagawa ng isa sa mga sumusunod na pagkilos:

1. I-off ang setting ng AllowNTCrypto sa registry.
   1. Mag-log in sa mga apektadong domain controller.
   2. Piliin ang Start, piliin ang Patakbuhin, i-type ang regedit.exe, at pagkatapos ay piliin ang OK.
   3. Sa Registry Editor pumunta sa HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Netlogon\
      Mga parameter.
   4. Baguhin ang halaga ng AllowNT4Crypto sa 0.
   5. Ulitin ang mga hakbang na ito para sa bawat apektadong domain controller.
2. I-off ang setting ng AllowNTCrypto sa Default Domain Controllers Policy GPO.
   1. Mag-log in sa isang Windows Server 2008-based na domain controller.
   2. Piliin ang Start, piliin ang Patakbuhin, i-type ang gpmc.msc, at pagkatapos ay piliin ang OK.
   3. Sa console ng Pamamahala ng Patakaran ng Pangkat, palawakin ang Kagubatan: DomainName, palawakin ang Mga Domain, palawakin ang DomainName, at pagkatapos ay palawakin ang Mga Controller ng Domain.
   4. I-right-click ang Default na Patakaran sa Mga Controller ng Domain, at pagkatapos ay piliin ang I-edit.
   5. Sa console ng Editor ng Pamamahala ng Patakaran ng Grupo, palawakin ang Pagsasaayos ng Computer, palawakin ang Mga Patakaran, palawakin ang Mga Template ng Pangangasiwa, at pagkatapos ay palawakin ang System.
   6. Piliin ang Net Logon.
   7. I-double-click Payagan ang mga algorithm ng cryptography na katugma sa Windows NT 4.0.
   8. Sa dialog, piliin ang Hindi pinagana, at pagkatapos ay piliin ang OK.

Alamin pa

Para sa karagdagang impormasyon tungkol sa pag-uugali na ito, tingnan ang Ang serbisyo ng Net Logon sa Windows Server 2008 at sa Windows Server 2008 R2 domain controllers ay hindi nagpapahintulot sa paggamit ng mas lumang mga algorithm ng cryptography na katugma sa Windows NT 4.0 bilang default, sa https://support.microsoft.com/kb/942564

Para sa karagdagang impormasyon sa pagbabago ng may-katuturang GPO, tingnan ang Baguhin ang Mga Patakaran sa Seguridad sa Default na Patakaran sa Mga Controller ng Domain, sa https://technet.microsoft.com/library/cc731654.aspx.