Лига Сисадминов
2 823 поста
•
19 236 подписчиков
0 просмотренных постов скрыто
Строгое сопоставление имен сертификатов (Strong Certificate Name Mapping) в Active Directory с 2022 по 2025 год. Атаки ESC6, ESC9 и ESC16
Для ЛЛ: для тех, кто регулярно читает инструкции к обновлениям перед установкой – ничего нового
Меня давно (года два ?) просили написать статью про Strong Certificate Name Mapping .
Про что это? Про корпоративные сертификаты, выписанные внутренним центром сертификации, и используемые в всяких доменных вещах, например в авторизации с использованием сертификатов.
Где можно было словить проблем: да везде. Затронуты следующие элементы: вход пользователей в систему, доступ через VPN, сеть Wi-Fi (стандарт 802.1X), смарт-карты, а также сертификаты, выданные посредством MDM-решения (Intune SCEP/PKCS).
Хронология
10 мая 2022.
И я видел, что Агнец снял первую из семи печатей, и я услышал одно из четырех животных, говорящее как бы громовым голосом: иди и смотри
Выходит обновление KB5014754 для Windows Server 2012 R2, Windows Server 2012, Windows Server 2008 R2 Enterprise ESU, Windows Server 2008 R2 Standard ESU, Windows Server 2008 R2 Datacenter ESU, Windows Server 2008 Service Pack 2, Windows Server 2016, all editions Windows Server, version 20H2, all editions Windows Server 2022, Windows Server 2019.
Для всего. И Windows server 2025 еще не вышел.
Обновление выходит кривое, косое, как .. не знаю что. То есть, в корпоративной среде общеизвестно, что Microsoft регулярно пропускает индусов к коду, и выходит кривое, косое, и это не лечится. Вся линейка Windows ME, Windows 2012 до R2, 2022 сервер.
Вот и в тот раз обновление вышло, но сразу кривое, и отозванное.
19 мая 2022.
И когда он снял вторую печать, я слышал второе животное, говорящее: иди и смотри.
Вместо KB5014754 выходит KB5015020.
Если говорить про линейку 20H2 (это тот же 2019 сервер, но вышедший по уже умершей программе обновлений Semi-Annual Channel, SAC) вот такое обновление:
Внеплановое обновление Cumulative Update for Windows Server, version 20H2 for x64-based Systems (KB5015020) с описанием:
Устранена известная проблема, из-за которую некоторые службы могли помешать проверке подлинности учетных записей компьютеров на клиентах или серверах. Эта проблема возникает после установки обновления от 10 мая 2022 г. на контроллерах домена.
После этого уже начинается отчет часов судного дня.
Что должно было появиться:
В сертификатах должно было появиться расширение szOID_NTDS_CA_SECURITY_EXT – в в центре сертификации должно быть добавлено расширение с OID 1.3.6.1.4.1.311.25.2
Обходной путь.
Если «все сломалось и ничего не работает», то в реестр можно было добавить ключ StrongCertificateBindingEnforcement, но его поведение менялось.
Если говорить про русскоязычный интернет, то Позитив написал для Вестника Минцифры интересную статью про этот ключ, Статья «ESCплуатация: новый вектор атаки на Active Directory Certificate Services».
Но, как всегда у вестника минцифры, и тех кто на нем пишет, есть небольшой нюанс. Обновление вышло в 2022 году, а статья у Вестника Минцифры появилась в июле 2025. Позитивно, но немного отстает. И в тексте бездумное копирование описания KB5014754, а не KB5015020.
Изменение поведение Windows сервер (точнее, контроллера домена) в зависимости ключа реестра StrongCertificateBindingEnforcement.
Ключ: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Kdc\StrongCertificateBindingEnforcement
До патча KB5014754 / KB5015020. Не влияет.
После патча KB5014754 / KB5015020:
При отсутствии: режим совместимости (Compatibility mode)
StrongCertificateBindingEnforcement = 1 включает режим совместимости (Compatibility mode)
StrongCertificateBindingEnforcement = 2 включает режим принуждения (Enforcement mode)
Затем все было вовсе не тихо.
Следующий патч должен был быть в мае 2023. Его сдвинули на 14 ноября 2023.
После криков «что вы делаете, мы за год ничего не успели», сроки сдвинули на 11 февраля 2025 года, со словами «может и еще сдвинем, но не надейтесь».
И пришел февраль 2025 года.
И когда Он снял третью печать, я слышал третье животное, говорящее: иди и смотри. Я взглянул, и вот, конь вороной, и на нем всадник, имеющий меру в руке своей.
Февральское обновление безопасности меняло поведение данного настройки.
Было: Not configured (default) , режим совместимости,
Стало: режим принуждения.
Два других варианта остались без изменений:
StrongCertificateBindingEnforcement = 1 включает режим совместимости (Compatibility mode)
StrongCertificateBindingEnforcement = 2 включает режим принуждения (Enforcement mode)
В сентябре 2025 вышло очередное обновление
И когда Он снял четвертую печать, я слышал голос четвертого животного, говорящий: иди и смотри.И я взглянул, и вот, конь бледный, и на нем всадник, которому имя "смерть"; и ад следовал за ним; и дана ему власть над четвертою частью земли – умерщвлять мечом и голодом, и мором и зверями земными.
В сентябре 2025 вышло очередное обновление. После него настройка StrongCertificateBindingEnforcement игнорируется.
Расписано в статьях:
https://techcommunity.microsoft.com/blog/askds/understanding-and-troubleshooting---strong-certificate-name-mapping-in-active-di/4451386
и
https://directaccess.richardhicks.com/2025/01/27/strong-certificate-mapping-enforcement-february-2025/
Особо надо отметить статью Uwe Gradenegger. Changes to Certificate Issuance and Certificate-Based Logon to Active Directory with the May 10, 2022 Patch for Windows Server (KB5014754)
Все прекрасно описано – и как отлавливать такие ошибки, и что в каком порядке нажимать, и как с этим дальше жить.
Это ошибки:
Event ID 39 — No strong mapping
Event ID 40 — Certificate predates account (Compatibility mode only)
Event ID 41 — User SID does not match Certificate SID
Event ID 313 — Invalid Certificate Strong Name Match Policy
Конец истории у одних – начало у других
В русскоязычном сообществе с, примерно, 2015 года, закончились русскоязычные блоги.
Кто-то умер, кто-то перестал писать в своем уютном.
В 2022 – 2023 под 100% модерацию Минцифры перешло ранее коммерческое издание «Хабр». Там и до этого было где-то между «плохо» и «отвратительно» и с качеством статей, и с реальной посещаемостью, и с реальными авторами. Стало еще хуже. Часть рекламодателей и авторов статей уехала вместе с Microsoft. Часть рекламодателей перестала платить за не приносящую результатов рекламу. В оставшейся части давно гонят нейрослоп «ни о чем». Есть позитивные новости – часть рекламодателей переехала на Пикабу.
Все вместе это уже дает интересный «отложенный эффект переезда».
Потому что реклама рекламой, но лучше Windows Server 2025 ничего так и не появилось, сколько бы реклама в рекламе не писали, что они сделали продукт «почти такой же, как Windows active directory 2003», русифицировав FreeIPA и SaltStack.
Рано или поздно, без лишнего шума, произойдет окончательное замещение Windows server 2019 и Windows server 2022 на Windows Server 2025. Со всеми его проблемами со свистелками и перделками, то есть с управлением Standalone Managed Service Account (sMSA), Group Managed Service Account (gMSA), Delegated Managed Service Account (dMSA), вместе с Golden dMSA.
Вместе с тем, с переездом и обновлениями давно не обновленного софта, многие «Администраторы» похлебают полной ложкой.
Для них проблемы, для кого-то честный заработок на консалтинге.
Кто не хочет (и не может) платить тем, кто умеет читать, будет платить в консалтинг. Я не против.
Заключение
В интернетах пишут ,что все равно нужно руками переконфигурировать, потому что много чего сделано «бай дезайн и идите отсюда» - то есть
I reported it. Microsoft closed it as “Not a Vulnerability” and told me the certificate-issuance behaviour “operates by design.” So I put it back on the lab and recorded every byte.
https://0xmaz.me/posts/certsrv-id-cmc-addExtensions-KB501475...
Ссылки и литература
KB5014754. Изменения проверки подлинности на основе сертификатов на контроллерах домена Windows
KB5014754: Certificate-based authentication changes on Windows domain controllers
Understanding and Troubleshooting - Strong Certificate Name Mapping in Active Directory
Strong Certificate Mapping Enforcement February 2025
Strong Certificate Mapping for Intune PKCS and SCEP Certificates
The SID that wasn't there: bypassing KB5014754 to Domain Admin on a fully patched AD CS
2.2.2.7.7.4 szOID_NTDS_CA_SECURITY_EXT, OID = 1.3.6.1.4.1.311.25.2.
Microsoft’s Strong Certificate Mapping Enforcement — What It Means for Your PKI and How to Prepare
Uwe Gradenegger. Changes to Certificate Issuance and Certificate-Based Logon to Active Directory with the May 10, 2022 Patch for Windows Server (KB5014754)
Постскриптум
Изменений там было просто кошмарно много. Читать статью Changes to Certificate Issuance and Certificate-Based Logon to Active Directory with the May 10, 2022 Patch for Windows Server (KB5014754)
начиная с абзаца:
This change affects Network Policy Server (NPS) or web servers that process a login with certificates. The underlying library has been configured with a new default value by the patch.
This is located in the "CertificateMappingMethods" value below the following registry key:
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\SecurityProviders\Schannel
И
Problems with the patch when logging on to the Network Policy Server (NPS) or Internet Information Service (IIS)
Relatively quickly after the patch was installed, it became apparent that organizations using the Network Policy Service (NPS) to enable Remote Access (RAS) or Network Access Control (NAC) scenarios, such as logins to the wired or wireless network with certificates, were dealing with an outage of those very services.
Показать полностью
Ядро Linux выучило HTTP
Товарищи из ETH Zurich, NYU и NVIDIA принесли на Linux Plumbers Conference проект Beeper - парсер седьмого уровня сети, живущий прямо в ядре. Пишется на Rust, крутится на eBPF, код открытый.
Механика простая. Обычно запрос топает привычным маршрутом: сетевая карта --> ядро --> системный вызов --> приложение, которое наконец соизволит ответить. Beeper перехватывает HTTP прямо в ядре, умеет кэшировать ответы и отдавать их, вообще не беспокоя приложение. Как швейцар, который не только открывает дверь, но и отвечает посетителям за вас - большинство из них до вас просто не доходит.
Цифры из презентации: до 3.4× роста пропускной способности, а в связке с hyper-fast-path (быстрый путь для Rust-библиотеки Hyper) - до 4.5×. Применений нарисовали больше, чем просто кэш: мониторинг трафика на уровне приложений, редиректы по содержимому запроса.
Пока это исследование, а не готовый продакшен - авторы на это и не претендуют. Но тренд любопытный: eBPF уже следит за сетью, безопасностью и планировщиком, а теперь ещё и подрабатывает веб-сервером.
Если парсинг HTTP уже живёт в ядре - что остановит энтузиастов дальше? Не удивлюсь, если лет через пять find / -name nginx* на боевом сервере ничего не найдёт.
Показать полностью
Ответ на пост «Структура IT отдела»1
Вы даете примерно ноль полезной информации, но при этом просите оценить качество решения.
Что за предприятие? Сколько сейчас людей? Какая у них нагрузка? Какие квалификации, какие задачи? Сколько эти задачи требуют времени в текущей конфигурации отдела?
Самое главное: чем руководство мотивирует объединение? Они пытаются сэкономить деньги или оптимизировать процессы? Доносили ли вы информацию о текущей нагрузке? Как они это комментируют? Они просто уволить, условно, половину людей или донанять людей с большей квалификацией?
В зависимости от ответов, решение может быть как глупым, так и абсолютно верным. В первую очередь оно оценивается по решаемой руководством проблеме.
Далее рассмотрим ситуацию, когда оно здраво.
Все вышеописанные задачи действительно подпадают под задачи "системных администраторов" и в большинстве своем не требуют значительной квалификации. Таким образом излишняя специализация может быть избыточной. Например, не нужно выделять отдельного специалиста для замены мышек и отдельного на смену картриджей с красными чернилами. Все это реально может выполняться просто системными администраторами. При этом там явно не требуется отвечать на звонки, одновременно ковыряя железо. Внутри отдела могут быть дежурства: "сегодня Вася на телефоне, а Саша ставит компы пользователям", а завтра - они меняются.
Упразднение деления по отделам упрощает внутренние процессы и исключает ситуации, когда отделы перепинывают заявки друг на друга: когда техподдержка принимает заявку, передает ее "железячникам", а те говорят, что проблемы нет и перепинывают на сисадминов. Я не говорю, что у вас именно так, но это частая проблема в крупных компаниях - процессы бюрократизируются, у них пропадает владелец и резко падает эффективность решения проблем, от чего страдает все предприятие. Замыкание ответственности на объединенном отделе решает эту проблему. Заявку решает специалист, который ее принял - от и до. И он же несет за нее ответственность.
Если компетенции сотрудников низкие, то сами задачи могут решаться неэффективным образом. Например, когда необходимость нескольких "железячников" обусловлена ручной настройкой каждого компьютера по 8 часов вместо настройки раскатки образов или PXE. В этом случае многие процессы выполняемые вручную могут быть автоматизированы, что потребует кратно меньшего числа людей, но людей с более высокой квалификацией.
Показать полностью
Структура IT отдела1
Допустим на достаточно крупном предприятии с огромным количеством парка ПК есть сисадмины, есть специалисты техподдержки и есть железячники, которые занимаются чисто обслуживанием пк и оргтехники. Программисты и прочие лица, занимающиеся сопровождением ПО, не в счёт.
Новое начальство хочет сделать так, чтобы стало "три в одном", то есть сисадмины будут сидеть на техподдержке (звонки каждую минуту) и одновременно ковырять принтера/пк. А большую часть этой "тройки" сократить.
Здравое ли это решение? В чём смысл?
Сейчас у всех трёх служб работы немерено, впрочем как и всегда.
Ответ на пост «Голову сломал, почему 100Mbs вместо 1Gbs, хотя все провода целые»1
Есть проблема помоги ее решить, проложил интернет кабель с пачкордами от роутера до компьютера, скорость 1000мб/с кабель тоже гегобитный, подсоединил к компьютеру запустил спидтест на Яндексе показало до 10мб/с, хотя скорость линии приходящая на компьютер, я посмотрел через настройки сети, показывает 1000мб/с, подсоединил к ноутбуку запустил так же спидтест все хорошо показывает до 1000мб/с, в чем проблема, может что-то связано с программным обеспечением? Обновил драйвер, все равно так же скорость до 10мб/с, что делать подскажите?
Ответ на пост «Комп для ребенка за 100к»1
Что я бы поменял точно:
1. Блок питания точно, а то потом пожар тушить такое себе
2. M.2 накопитель круто, конечно, но если полетит, данные достать будет жопа. Да и 512Гб сейчас маловато. Производитель какой-то неизвестный, сейчас можно в том же днс взять MSI память 1Тб, но там дороже будет, но, по опыту, память нормальная (артикул я не дам, или дам потом ответом к данному комменту)
3. Лучше кинуть М.2 + HDD, на жёстком хранить то, что боитесь потерять, на M.2 систему и то, что потерять не так страшно
4. Материнка хз, так что лучше В ОБЯЗАТЕЛЬНОМ ПОРЯДКЕ почитать отзывы и посмотреть характеристики
5. Корпус, как я понял, то ли открытый, то ли со стеклом, потому лучше взять блок питания не с косой, торчащей из него, а со съёмными проводами, так приятнее глазу будет и кабель менеджмент сделать будет проще
6. RAM вроде норм, на прошлой работе стояла патриотовская, её хватало, да и вела себя нормально. Про стресс тесты сказать ничего не могу
7. НЕ ЭКОНОМТЕ НА БЛОКЕ ПИТАНИЯ. БЛОК ПИТАНИЯ = ВАША БЕЗОПАСНОСТЬ. АХТУНГ: ИЩИТЕ ПО ОТЗЫВАМ И ОБЗОРАМ, ЧТОБЫ НЕ СГОРЕТЬ!!!
UPD: Хороший коомент по поводу БП:
Спасибо @Cabral, правда хороший подкинул)
Показать полностью
1
Комп для ребенка за 100к1
Приветствую! Брат попросил помочь собрать комп для ребенка с бюджетом до 100к.
Он прислал ссылку на конфигуратор в DNS: https://www.dns-shop.ru/conf/fbdfd51156b15e8a/
Я Айтишник с многолетним опытом — ничего же сложного. Да вот только я уже почти 20 лет на Маках и кроме своего кода в "блокноте" меня мало что интересует. В железе в общем уже не разбираюсь и не интересуюсь... Да и сам в игры не играю.
Я понимаю, что мать и память отстой, и по-хорошему мать надо заменить на MSI или Gigabyte, а память на Кингкстон, но слабо понимаю в текущих трендах и ценовых реалиях.
Помогите, пожалуйста, собрать нормальный и надежный конфиг. Что посоветуете?
Благодарю! Добра и счастья за помощь и советы)
Без рейтинга.
Показать полностью
2