KB5004605: a atualização adiciona proteções de encriptação AES ao protocolo MS-SAMR para CVE-2021-33757

• Padrão de alteração de palavra-passe

  As atualizações modificam o padrão de alteração de palavra-passe do protocolo ao adicionar um novo método de alteração de palavra-passe que utilizará o AES.

  Método Antigo com RC4	Novo Método com AES
  SamrUnicodeChangePasswordUser2 (OpNum 55)	SamrUnicodeChangePasswordUser4 (OpNum 73)

  Para uma lista completa de OpNums MS-SAMR, consulte Eventos de Processamento de Mensagens e Regras de Sequenciação.

• Padrão do conjunto de palavras-passe

  As atualizações modificam o padrão do conjunto de palavras-passe do protocolo ao adicionar duas novas Classes de Informações de Utilizador ao método SamrSetInformationUser2 (Opnum 58). Pode definir as informações da palavra-passe da seguinte forma.

  Método Antigo com RC4	Novo Método com AES
  SamrSetInformationUser2 (Opnum 58) juntamente com UserInternal4InformationNew, que mantém uma palavra-passe de utilizador encriptado com RC4.	SamrSetInformationUser2 (Opnum 58) juntamente com UserInternal8Information que guarda uma palavra-passe de utilizador encriptado com AES.
  SamrSetInformationUser2 (Opnum 58) juntamente com UserInternal5InformationNew, que mantém uma palavra-passe de utilizador encriptado com RC4 e todos os outros atributos de utilizador.	SamrSetInformationUser2 (Opnum 58) juntamente com UserInternal7Information que guarda uma palavra-passe encriptado com AES e todos os outros atributos de utilizador.

O método SamrConnect5 existente é geralmente utilizado para estabelecer uma ligação entre o cliente SAM e o servidor.

Um servidor atualizado irá agora devolver um novo bit na resposta SamrConnect5(), conforme definido no SAMPR_REVISION_INFO_V1. 

Valor	Significado
0x00000010	No recibo do cliente, este valor, quando definido, indica que o cliente deve utilizar a Encriptação AES com a estrutura do SAMPR_ENCRYPTED_PASSWORD_AES para encriptar memórias de palavra-passe quando enviado por e-mail. Consulte Utilização de Cipher Usage AES (secção 3.2.2.4)e SAMPR_ENCRYPTED_PASSWORD_AES (secção 2.2.6.32).

Se o servidor atualizado suportar AES, o cliente irá utilizar novos métodos e novas classes de informações para operações de palavra-passe. Se o servidor não devolver este sinalizador ou se o cliente não estiver atualizado, o cliente voltará a utilizar métodos anteriores com encriptação RC4.

As operações de Conjunto de Palavras-passe requerem um controlador de domínio (RWDC) de escrita. As alterações de palavra-passe são re encaminhadas pelo Controlador de Domínio Só de Leitura (RODC) para um RWDC. Todos os dispositivos têm de ser atualizados para que o AES seja utilizado. Por exemplo:

• Se o cliente, RODC ou RWDC não estiver atualizado, será utilizada a encriptação RC4.

• Se o cliente, o RODC e o RWDC estiverem atualizados, será utilizada a encriptação AES.

As atualizações de 13 de julho de 2021 adicionam quatro novos eventos ao registo do sistema para ajudar a identificar dispositivos que não estão atualizados e ajuda a melhorar a segurança.

• Estado de configuração O ID do Evento 16982 ou 16983 é registado no arranque ou numa alteração da configuração do registo.
  
  ID do Evento 16982

  Registo de eventos	Sistema
  Origem do evento	Directory-Services-SAM
  ID do Evento	16982
  Nível	Informações
  Texto da mensagem do evento	O gestor de conta de segurança está agora a registo de eventos verbosos para clientes remotos que chamam alteração de palavra-passe legada ou definem métodos RPC. Esta definição pode causar um grande número de mensagens e só deve ser utilizada durante um curto período de tempo para diagnosticar problemas.

  
  ID do Evento 16983

  Registo de eventos	Sistema
  Origem do evento	Directory-Services-SAM
  ID do Evento	16983
  Nível	Informações
  Texto da mensagem do evento	O gestor de conta de segurança está agora a registo de eventos de resumo periódicos para clientes remotos que chamam alteração de palavra-passe legada ou definem métodos RPC.

• Após aplicar a atualização de 13 de julho de 2021, um Evento de Resumo 16984 é registrado no registo de eventos do Sistema a cada 60 minutos.
  
  ID do Evento 16984

  Registo de eventos	Sistema
  Origem do evento	Directory-Services-SAM
  ID do Evento	16984
  Nível	Informações
  Texto da mensagem do evento	O gestor de conta de segurança detetou uma alteração de palavra-passe %x legada ou detetou chamadas de método RPC nos últimos 60 minutos.

• Após configurar o registo de eventos verboso, o Evento ID 16985 é registrado no registo de eventos do Sistema sempre que um método RPC legado for utilizado para alterar ou definir uma palavra-passe de conta.
  
  ID do Evento 16985

  Registo de eventos	Sistema
  Origem do evento	Directory-Services-SAM
  ID do Evento	16985
  Nível	Informações
  Texto da mensagem do evento	O gestor de conta de segurança detetou a utilização de uma alteração legada ou a configuração do método RPC a partir de um cliente de rede. Considere atualizar o sistema operativo ou aplicação cliente para utilizar a versão mais recente e mais segura deste método. Detalhes: Método RPC: %1 Endereço de Rede do Cliente: %2 SID do Cliente: %3 Nome de utilizador: %4

  Para registar o verboso ID do Evento 16985, altere o seguinte valor de registo no servidor ou controlador de domínio.

  Caminho	HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\SAM
  Tipo	REG_DWORD
  Nome do valor	AuditLegacyPasswordRpcMethods
  Dados de valor	1 = registo verboso está ativado  0 ou não apresentar = o registo verboso está desativado. Eventos de resumo apenas. (Predefinição)

Tal como descrito em SamrUnicodeChangePasswordUser4 (Opnum 73), quando utilizar o novo método SamrUnicodeChangePasswordUser4, o cliente e o servidor utilizarão o Algoritmo PBKDF2 para decifrar uma chave de encriptação e de encriptação da palavra-passe antiga do texto simples. Isto deve-se ao facto de a palavra-passe antiga ser o único segredo comum que é conhecido no servidor e no cliente.  

Para obter mais informações sobre o PBKDF2, consulte Função BCryptDeriveKeyPBKDF2 (bcrypt.h).

Se tiver de fazer uma alteração por motivos de desempenho e de segurança, pode ajustar o número de iterações PBKDF2 utilizadas pelo cliente para alteração da palavra-passe ao definir o seguinte valor de registo no cliente.

Caminho	HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\SAM
Tipo	REG_DWORD
Nome do valor	PBKDF2Iterações
Dados de valor	Mínimo de 5 000 a um máximo de 1 000 000
Valor predefinido	10,000

Para obter mais informações, consulte Adquirir uma Chave de Sessão SMB.

A atualização ocorre quando o servidor ou cliente não suporta AES.   

Os servidores atualizados registarão eventos quando são utilizados métodos legados com o RC4. 

De momento, não existe nenhum modo de imposição disponível, mas poderá estar disponível no futuro. Não temos uma data. 

Se um dispositivo terceiro não estiver a utilizar o protocolo SAMR, isso não é importante. Os fornecedores terceiros que implementem o protocolo MS-SAMR podem optar por implementar esta implementação. Contacte o fornecedor de terceiros se tiver dúvidas. 

Não são necessárias alterações adicionais.  

Este protocolo é legado e prevemos que a sua utilização é muito baixa. As aplicações legadas poderão utilizar estas APIs. Além disso, algumas ferramentas do Active Directory, como o AD Users e Computers MMC, utilizam o SAMR.

Não. Apenas as alterações de palavra-passe que utilizam estas APIs DE SAMR específicas são afetadas.

Sim. O PBKDF2 é mais dispendioso do que o RC4. Se ocorrerem muitas alterações de palavra-passe ao mesmo tempo no controlador de domínio que chama a API SamrUnicodeChangePasswordUser4, o carregamento da CPU do LSASS poderá ser afetado. Pode ajustar as iterações PBKDF2 nos clientes se for necessário, no entanto, não recomendamos que diminua da predefinição, uma vez que esta ação poderia reduzir a segurança.