Partager via

  • Article

Avis de sécurité

Conseils de sécurité Microsoft 973811

Protection étendue de l'authentification

Publication : 11 août 2009 | Mise à jour : 08 janvier 2013

Version : 1.14

Microsoft annonce la disponibilité d’une nouvelle fonctionnalité, protection étendue pour l’authentification, sur la plateforme Windows. Cette fonctionnalité améliore la protection et la gestion des informations d’identification lors de l’authentification des connexions réseau à l’aide de l’authentification Windows intégrée (IWA).

La mise à jour elle-même ne fournit pas directement de protection contre des attaques spécifiques telles que le transfert d’informations d’identification, mais permet aux applications d’opter pour la protection étendue pour l’authentification. Cet avis présente aux développeurs et aux administrateurs système cette nouvelle fonctionnalité et explique comment il peut être déployé pour protéger les informations d’identification d’authentification.

Facteurs d’atténuation :

  • Les applications qui utilisent la signature et le chiffrement de session (par exemple, l’appel de procédure distante (RPC) avec confidentialité et intégrité, ou le bloc de messages serveur (S Mo) avec signature activée) ne sont pas affectées par le transfert d’informations d’identification.

Informations générales

Vue d’ensemble

Objectif de l’avis : ce conseil a été publié pour annoncer aux clients la publication d’une mise à jour non liée à la sécurité afin de rendre disponible une nouvelle fonctionnalité, protection étendue pour l’authentification, sur la plateforme Windows.

État de l’avis : avis publié.

Recommandation : passez en revue les actions suggérées et configurez-les selon les besoins.

Références Identification
Article de la Base de connaissances Microsoft Article 973811 de la Base de connaissances Microsoft

Cet avis annonce la publication de cette fonctionnalité pour les plateformes suivantes.

Logiciel affecté
Windows XP Service Pack 2 et Windows XP Service Pack 3\ Windows XP pour systèmes x64 Service Pack 2 et Windows XP pour systèmes x64 Service Pack 3
Windows Server 2003 Service Pack 2\ Windows Server 2003 pour systèmes x64 Service Pack 2\ Windows Server 2003 pour les systèmes Itanium et Windows Server 2003 pour les systèmes Itanium Service Pack 2
Windows Vista, Windows Vista Service Pack 1 et Windows Vista Service Pack 2\ Windows Vista pour systèmes x64, Windows Vista pour systèmes x64 Service Pack 1 et Windows Vista pour systèmes x64 Service Pack 2
Windows Server 2008 pour les systèmes 32 bits et Windows Server 2008 pour les systèmes 32 bits Service Pack 2\ Windows Server 2008 pour les systèmes x64 et Windows Server 2008 pour les systèmes x64 Service Pack 2 Windows Server 2008\ pour les systèmes Itanium et Windows Server 2008 pour les systèmes Itanium Service Pack 2
Logiciels non affectés
Windows 7 pour systèmes 32 bits\ Windows 7 pour systèmes x64
Windows Server 2008 R2 pour systèmes x64\ Windows Server 2008 R2 pour les systèmes Itanium

Forums Aux Questions (FAQ)

Quelle est la portée de l’avis ?
Microsoft a publié cet avis pour annoncer la publication d’une nouvelle fonctionnalité, protection étendue pour l’authentification, en tant que mise à jour de l’SSPI Windows pour aider à traiter le transfert des informations d’identification.

S’agit-il d’une vulnérabilité de sécurité qui oblige Microsoft à émettre une mise à jour de sécurité ?
Non, il ne s’agit pas d’une vulnérabilité de sécurité qui oblige Microsoft à émettre une mise à jour de sécurité. Cette fonctionnalité nécessite une configuration facultative que certains clients peuvent choisir de déployer. L’activation de cette fonctionnalité n’est pas appropriée pour tous les clients. Pour plus d’informations sur cette fonctionnalité et sur la façon de la configurer correctement, consultez l’article de la Base de connaissances Microsoft 973811. Cette fonctionnalité est déjà incluse dans Windows 7 et Windows Server 2008 R2.

Qu’est-ce que la protection étendue pour l’authentification Windows ?
La mise à jour de l’article de la Base de connaissances Microsoft 968389 modifie l’SSPI afin d’améliorer la façon dont Authentification Windows fonctionne afin que les informations d’identification ne soient pas facilement transférées lorsque l’authentification Windows intégrée (IWA) est activée.

Lorsque la protection étendue pour l’authentification est activée, les demandes d’authentification sont liées à la fois aux noms de principal du service (SPN) du serveur auquel le client tente de se connecter et au canal TLS (Transport Layer Security) externe sur lequel l’authentification IWA a lieu. Il s’agit d’une mise à jour de base qui permet aux applications d’opter pour la nouvelle fonctionnalité.

Les futures mises à jour modifieront les composants système individuels qui effectuent l’authentification IWA afin que les composants utilisent ce mécanisme de protection. Les clients doivent installer à la fois l’article de la Base de connaissances Microsoft 968389 mise à jour et les mises à jour spécifiques aux applications clientes et aux serveurs sur lesquels la protection étendue pour l’authentification doit être activée. Lors de l’installation, la protection étendue pour l’authentification est contrôlée sur le client via l’utilisation de clés de Registre. Sur le serveur, la configuration est spécifique à l’application.

Quelles autres actions Microsoft prend-il pour implémenter cette fonctionnalité ?

Les modifications doivent être apportées aux applications clientes et serveur spécifiques qui utilisent l’authentification Windows intégrée (IWA) pour s’assurer qu’elles optent pour cette nouvelle technologie de protection.

Les mises à jour publiées par Microsoft le 11 août 2009 sont les suivantes :

  • L’article 968389 de la Base de connaissances Microsoft implémente la protection étendue pour l’authentification dans l’interface du fournisseur de support Sécurité Windows (SSPI). Cette mise à jour permet aux applications de choisir la protection étendue pour l’authentification.
  • Le Bulletin de sécurité Microsoft MS09-042 contient également une mise à jour de défense en profondeur et non de sécurité qui permet au client et au serveur Telnet de choisir la protection étendue pour l’authentification.

La mise à jour publiée par Microsoft le 13 octobre 2009 est la suivante :

Les mises à jour publiées par Microsoft le 8 décembre 2009 sont les suivantes :

Les mises à jour publiées par Microsoft le 8 juin 2010 sont les suivantes :

  • L’article 982532 de la Base de connaissances Microsoft contient une mise à jour non liée à la sécurité qui permet à .NET Framework 2.0 Service Pack 2 sur Windows Vista Service Pack 1 d’opter pour la protection étendue pour l’authentification.
  • L’article de la Base de connaissances Microsoft 982533 contient une mise à jour non liée à la sécurité qui permet à .NET Framework 2.0 Service Pack 2 sur Windows Vista Service Pack 2 d’opter pour la protection étendue pour l’authentification.
  • L’article de la Base de connaissances Microsoft 982535 contient une mise à jour non liée à la sécurité qui permet à .NET Framework 2.0 Service Pack 2 + 3.0 Service Pack 2 sur Windows Vista Service Pack 1 d’opter pour la protection étendue pour l’authentification.
  • L’article de la Base de connaissances Microsoft 982536 contient une mise à jour non liée à la sécurité qui permet à .NET Framework 2.0 Service Pack 2 + 3.0 Service Pack 2 sur Windows Vista Service Pack 2 d’opter pour la protection étendue pour l’authentification.
  • L’article de la Base de connaissances Microsoft 982167 contient une mise à jour non liée à la sécurité qui permet à .NET Framework 2.0 Service Pack 2 sur Windows XP et Windows Server 2003 de choisir la protection étendue pour l’authentification.
  • L’article de la Base de connaissances Microsoft 982168 contient une mise à jour non liée à la sécurité qui permet à .NET Framework 2.0 Service Pack 2 + 3.0 Service Pack 2 sur Windows XP et Windows Server 2003 d’opter pour la protection étendue pour l’authentification.

La mise à jour publiée par Microsoft le 14 septembre 2010 est la suivante :

La mise à jour publiée par Microsoft le 12 octobre 2010 est la suivante :

La mise à jour publiée par Microsoft le 29 décembre 2010 est la suivante :

  • Une nouvelle version de Microsoft® Office Live Portail du service de réunion lui permet de prendre en charge la protection étendue pour l’authentification.

La mise à jour publiée par Microsoft le 12 avril 2011 est la suivante :

Les solutions de correctif Microsoft publiées par Microsoft le 8 janvier 2013 sont les suivantes :

  • L’article de la Base de connaissances Microsoft 2793313 contient des solutions de correctif Microsoft qui définissent les systèmes Windows XP et Windows Server 2003 pour autoriser NTLMv2 uniquement. L’application de ces solutions de correctif Microsoft permet aux utilisateurs de Windows XP et windows Server 2003 de tirer parti de la protection étendue pour l’authentification.

Microsoft prévoit étendre la couverture en publiant les futures mises à jour qui incluront des applications clientes et serveurs Microsoft supplémentaires dans ces mécanismes de protection. Cet avis de sécurité sera révisé pour contenir des informations mises à jour lorsque ces mises à jour sont publiées.

Comment les développeurs peuvent-ils incorporer cette technologie de protection dans leurs applications ?

Les développeurs peuvent trouver plus d’informations sur l’utilisation de la protection étendue pour la technologie d’authentification dans l’article MSDN suivant, Authentification Windows intégrée avec protection étendue.

Comment faire activer cette fonctionnalité ?

Sur le client, les clients doivent implémenter les paramètres de clé de Registre suivants.

Vous trouverez des instructions détaillées sur l’activation de cette clé de Registre dans l’article de la Base de connaissances Microsoft 968389.

  • Définissez la clé HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\LSA\SuppressExtendedProtection sur 0 pour activer la technologie de protection. Par défaut, cette clé est définie sur 1 lors de l’installation, ce qui désactive la protection.
  • Définissez la clé HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\LmCompatibilityLevel sur 3. Il ne s’agit pas de la valeur par défaut sur Windows XP et Windows Server 2003. Il s’agit d’une clé existante qui active l’authentification NTLMv2. La protection étendue pour Authentification Windows s’applique uniquement aux protocoles d’authentification NTLMv2 et Kerberos et ne s’applique pas à NTLMv1. Pour plus d’informations sur l’application de l’authentification NTLMv2, consultez l’article de la Base de connaissances Microsoft 239869.

Sur le serveur, la protection étendue pour l’authentification doit être activée par service. La vue d’ensemble suivante montre comment activer la protection étendue pour l’authentification sur les protocoles courants pour lesquels il est actuellement disponible :

Telnet (Ko 960859)

Pour Telnet, la protection étendue pour l’authentification peut être activée sur le serveur en créant la clé de Registre DWORD HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\TelnetServer\1.0\ExtendedProtection. La valeur par défaut de cette clé est Héritée. Définissez la clé sur l’une des valeurs suivantes :

  • Hérité : en définissant la valeur DWORD sur 0, la protection étendue pour l’authentification sera désactivée sur le serveur et aucune connexion, même celles des clients mis à jour et correctement configurés, sera protégée contre les attaques de transfert d’informations d’identification.
  • Autoriser la protection étendue : en définissant la valeur DWORD sur 1, le serveur protège les ordinateurs clients qui ont été configurés pour utiliser le mécanisme de protection étendue pour l’authentification contre les attaques de relais d’informations d’identification. Les clients qui n’ont pas été mis à jour et correctement configurés ne seront pas protégés.
  • Exiger une protection étendue : en définissant la valeur DWORD sur 2, le serveur exige que les clients prennent en charge la protection étendue pour l’authentification ou refusent l’authentification. Les clients qui n’ont pas de protection étendue activée ne peuvent pas s’authentifier auprès du serveur.

Vous trouverez des instructions détaillées sur la création de cette clé de Registre dans l’article de la Base de connaissances Microsoft 960859.

Internet Information Services (Ko 973917)

Pour Internet Information Services, la protection étendue pour l’authentification peut être activée sur le serveur via l’utilisation du Gestionnaire de configuration IIS ou en modifiant directement le fichier de configuration ApplicationHost.Config. Vous trouverez des informations détaillées sur la configuration d’IIS dans l’article de la Base de connaissances Microsoft 973917.

Que dois-je savoir lors du déploiement de la protection étendue pour l’authentification ?

Les clients doivent installer la mise à jour contenue dans l’article de la Base de connaissances Microsoft 968389, installer les mises à jour d’application respectives sur les ordinateurs clients et serveurs, et configurer correctement les deux ordinateurs pour qu’ils utilisent le mécanisme de protection afin d’être protégés contre les attaques de transfert d’informations d’identification.

Lorsque la protection étendue pour l’authentification est activée côté client, elle est activée pour toutes les applications utilisant IWA. Toutefois, sur le serveur, il doit être activé par application.

Pourquoi cette mise à jour de sécurité n’est-elle pas annoncée dans un bulletin de sécurité ?
Cette mise à jour implémente une nouvelle fonctionnalité qui peut ne pas convenir à tous les clients à activer. Il fournit une fonctionnalité de sécurité supplémentaire que les clients peuvent choisir de déployer en fonction de leur scénario spécifique.

Il s’agit d’un avis de sécurité concernant une mise à jour non liée à la sécurité. N’est-ce pas une contradiction ?
Les avis de sécurité traitent des modifications de sécurité qui peuvent ne pas nécessiter de bulletin de sécurité, mais qui peuvent toujours affecter la sécurité globale du client. Les avis de sécurité permettent à Microsoft de communiquer des informations relatives à la sécurité aux clients sur les problèmes susceptibles de ne pas être classés comme des vulnérabilités et peuvent ne pas nécessiter de bulletin de sécurité ou des problèmes pour lesquels aucun bulletin de sécurité n’a été publié. Dans ce cas, nous transmettons la disponibilité d’une mise à jour qui ne traite pas d’une vulnérabilité de sécurité spécifique ; il traite plutôt de votre sécurité globale.

Comment cette mise à jour est-elle proposée ?
Ces mises à jour sont disponibles dans le Centre de téléchargement Microsoft. Les liens directs vers les mises à jour des logiciels affectés spécifiques sont répertoriés dans la table Logiciels affectés dans la section Vue d’ensemble. Pour plus d’informations sur la mise à jour et les modifications apportées au comportement, consultez l’article de la Base de connaissances Microsoft 968389.

Cette mise à jour est-elle distribuée sur la mise à jour automatique ?
Oui. Ces mises à jour sont distribuées sur le mécanisme de mise à jour automatique.

Quelles sont les versions de Windows associées à cet avis ?
La fonctionnalité abordée dans cet avis est mise à la disposition de toutes les plateformes répertoriées dans le résumé des logiciels affectés. Cette fonctionnalité est présente dans toutes les versions de Windows 7 et Windows Server 2008 R2.

Microsoft connaît-il des informations et des outils détaillés pour les attaques contre NTLMv1 (NT LAN Manager version 1) et l’authentification réseau lan Manager (LM) ?
Oui. Microsoft est conscient des informations détaillées et des outils pour les attaques contre NTLMv1 (NT LAN Manager version 1) et l’authentification réseau lan Manager (LM). Les améliorations apportées aux algorithmes matériels et logiciels informatiques ont rendu ces protocoles vulnérables aux attaques largement publiées pour obtenir des mots de passe utilisateur. Les informations et les ensembles d’outils disponibles ciblent spécifiquement les environnements qui n’appliquent pas l’authentification NTLMv2.

Des informations détaillées sur les menaces et contre-mesures pour la sécurité réseau Windows et le niveau d’authentification LAN Manager sont disponibles sur Microsoft TechNet dans le Guide des menaces et des contre-mesures.

Microsoft encourage fortement les clients à évaluer leurs environnements et à mettre à jour leurs paramètres d’authentification réseau. Microsoft recommande que NTLMv2 soit implémenté et que les paramètres soient implémentés pour réduire ou éliminer l’utilisation de l’authentification réseau NTLMv1 et LM.

Actions suggérées

  • Consultez l’article de la Base de connaissances Microsoft associé à cet avis
    Les clients qui souhaitent en savoir plus sur cette fonctionnalité doivent consulter l’article de la Base de connaissances Microsoft 973811.

  • Appliquer et activer les mises à jour non liées à la sécurité répertoriées dans cet avis de sécurité
    Les clients doivent consulter la liste des mises à jour non liées à la sécurité et à la sécurité publiées par Microsoft dans le cadre de cette mise à jour de sécurité, et, le cas échéant, implémenter et configurer ces mécanismes. La liste des mises à jour disponibles est disponible dans les autres actions que Microsoft prend pour implémenter cette fonctionnalité ? entrée dans la section Questions fréquentes de cet avis.

  • Appliquez les solutions de correctif Microsoft décrites dans l’article de la Base de connaissances Microsoft 2793313
    Microsoft recommande que les environnements qui ont Windows XP et Windows Server 2003 autorisent uniquement NTLMv2. Pour ce faire, définissez le niveau d’authentification du Gestionnaire de réseau local sur 3 ou version ultérieure. Consultez l’article de la Base de connaissances Microsoft 2793313 pour plus d’informations et pour utiliser les solutions automatisées de correctif Microsoft qui définissent ces systèmes pour autoriser NTLMv2 uniquement. L’application de ces solutions de correctif Microsoft permet également aux utilisateurs de tirer parti de la protection étendue pour l’authentification.

  • Protéger votre PC
    Nous continuons à encourager les clients à suivre nos conseils sur la protection de votre ordinateur pour activer un pare-feu, obtenir des mises à jour logicielles et installer des logiciels antivirus. Les clients peuvent en savoir plus sur ces étapes en visitant Protéger votre ordinateur. Pour plus d’informations sur la sécurité sur Internet, les clients doivent visiter Microsoft Security Central.

  • Conserver Windows mis à jour
    Tous les utilisateurs Windows doivent appliquer les dernières mises à jour de sécurité Microsoft pour vous assurer que leurs ordinateurs sont aussi protégés que possible. Si vous ne savez pas si votre logiciel est à jour, visitez Windows Update, analysez votre ordinateur pour connaître les mises à jour disponibles et installez les mises à jour de haute priorité qui vous sont proposées. Si les Mises à jour automatiques sont activées, les mises à jour sont remises à vous quand elles sont publiées, mais vous devez vous assurer que vous les installez.

Solutions de contournement

Il existe un certain nombre de solutions de contournement qui aident à protéger les systèmes contre la réflexion des informations d’identification ou le transfert d’informations d’identification. Microsoft a testé les solutions de contournement suivantes. Bien que ces solutions de contournement ne corrigent pas la vulnérabilité sous-jacente, elles aident à bloquer les vecteurs d’attaque connus. Lorsqu’une solution de contournement réduit les fonctionnalités, elle est identifiée dans la section suivante.

Activation de la signature SMB

L’activation de S Mo la signature sur le serveur empêche l’attaquant d’accéder au serveur dans le contexte de l’utilisateur connecté. Cela permet de protéger contre les informations d’identification transférées au service S Mo. Microsoft recommande d’utiliser des stratégies de groupe pour configurer la signature S Mo.

Pour obtenir des instructions détaillées sur l’utilisation des stratégies de groupe pour activer et désactiver la signature S Mo pour Microsoft Windows 2000, Windows XP et Windows Server 2003, consultez l’article 887429 de la Base de connaissances Microsoft. Les instructions de l’article de la Base de connaissances Microsoft 887429 pour Windows XP et Windows Server 2003 s’appliquent également à Windows Vista et Windows Server 2008.

Impact de la solution de contournement : L’utilisation de S Mo signature de paquets peut dégrader les performances avec S Mo v1 sur les transactions de service de fichiers. Les ordinateurs dotés de ce jeu de stratégies ne communiquent pas avec les ordinateurs qui n’ont pas activé la signature de paquet côté client. Pour plus d’informations sur la signature S Mo et les impacts potentiels, consultez l’article MSDN « Serveur réseau Microsoft : Communications de signage numérique (toujours) ».

Autres informations

Remerciements

Microsoft remercie ce qui suit pour nous aider à protéger les clients :

  • Mark Gamache de T-Mobile USA pour nous aider à protéger les clients contre les attaques contre NTLMv1 (NT LAN Manager version 1) et l’authentification réseau LAN Manager (LM)

Ressources

  • Vous pouvez fournir des commentaires en remplissant le formulaire en consultant l’aide et le support Microsoft : Contactez-nous.
  • Les clients du États-Unis et du Canada peuvent recevoir un soutien technique du support technique. Pour plus d’informations sur les options de support disponibles, consultez Aide et support Microsoft.
  • Les clients internationaux peuvent recevoir du support de leurs filiales Microsoft locales. Pour plus d’informations sur la façon de contacter Microsoft pour connaître les problèmes de support international, visitez le support international.
  • Microsoft TechNet Security fournit des informations supplémentaires sur la sécurité dans les produits Microsoft.

Exclusion de responsabilité

Les informations fournies dans cet avis sont fournies « tel quel » sans garantie quelconque. Microsoft exclut toutes les garanties, expresses ou implicites, y compris les garanties de marchandabilité et d’adéquation à un usage particulier. En aucun cas, Microsoft Corporation ou ses fournisseurs ne sont responsables de dommages-intérêts, y compris les dommages directs, indirects, accessoires, accessoires, les pertes de bénéfices commerciaux ou les dommages spéciaux, même si Microsoft Corporation ou ses fournisseurs ont été informés de la possibilité de tels dommages- intérêts. Certains États n’autorisent pas l’exclusion ou la limitation de responsabilité pour des dommages indirects ou accessoires afin que la limitation ci-dessus ne s’applique pas.

Révisions

  • V1.0 (11 août 2009) : avis publié.
  • V1.1 (14 octobre 2009) : Mise à jour du FAQ avec des informations sur une mise à jour non liée à la sécurité incluse dans MS09-054 relative à WinINET.
  • V1.2 (8 décembre 2009) : Mise à jour du FAQ avec des informations sur trois mises à jour non liées aux services HTTP Windows, à la pile des protocoles HTTP et aux services Internet Information Services.
  • V1.3 (9 mars 2010) : mise à jour du FORUM aux questions pour annoncer la réécriture de la mise à jour qui permet aux services Internet Information de choisir une protection étendue pour l’authentification. Pour plus d’informations, consultez les problèmes connus dans l’article de la Base de connaissances Microsoft 973917.
  • V1.4 (14 avril 2010) : mise à jour de la section Actions suggérées pour diriger les clients vers l’entrée « Quelles sont les autres actions que Microsoft prend pour implémenter cette fonctionnalité ? » dans la section, Forum aux questions.
  • V1.5 (8 juin 2010) : mise à jour du FAQ avec des informations sur six mises à jour non liées à la sécurité permettant au .NET Framework de choisir une protection étendue pour l’authentification.
  • V1.6 (14 septembre 2010) : mise à jour du FAQ avec des informations sur une mise à jour non liée à la sécurité permettant à Outlook Express et Windows Mail de choisir une protection étendue pour l’authentification.
  • V1.7 (12 octobre 2010) : a mis à jour le FAQ avec des informations sur une mise à jour non liée à la sécurité permettant à Windows Server Message Block (S Mo) de choisir la protection étendue pour l’authentification.
  • V1.8 (14 décembre 2010) : mise à jour du FAQ avec des informations sur une mise à jour non liée à la sécurité permettant à Microsoft Outlook d’opter pour la protection étendue pour l’authentification.
  • V1.9 (17 décembre 2010) : suppression de l’entrée faq, initialement ajoutée le 14 décembre 2010, à propos d’une mise à jour non liée à la sécurité permettant à Microsoft Outlook d’opter pour la protection étendue pour l’authentification.
  • V1.10 (11 janvier 2011) : mise à jour du FAQ avec des informations sur une nouvelle version permettant à Microsoft® Office Live Portail du service de réunion de choisir une protection étendue pour l’authentification.
  • V1.11 (12 janvier 2011) : correction du lien vers les notes de publication de Microsoft® Office Live Portail du service de réunion dans le FAQ.
  • V1.12 (12 avril 2011) : mise à jour du FAQ avec des informations sur une mise à jour non liée à la sécurité permettant à Microsoft Outlook d’opter pour la protection étendue pour l’authentification.
  • V1.13 (31 octobre 2012) : correction des facteurs d’atténuation.
  • V1.14 (8 janvier 2013) : mise à jour du FAQ et des actions suggérées avec des informations sur les attaques contre NTLMv1 (NT LAN Manager version 1) et l’authentification réseau lan Manager (LM). Microsoft Fix it solutions for Windows XP et Windows Server 2003 sont disponibles pour vous protéger contre ces attaques. L’application de ces solutions de correctif Microsoft permet aux utilisateurs de tirer parti de la protection étendue pour l’authentification.

Construit à 2014-04-18T13 :49 :36Z-07 :00