Error

Después de las actualizaciones de seguridad de Windows en mayo de 2018, al intentar RDP a una estación de trabajo con Windows 10 Pro, se muestra el siguiente mensaje de error después de ingresar correctamente las credenciales de usuario:

Se produjo un error de autenticación. La función solicitada no es compatible.

Esto podría deberse a la corrección del oráculo de cifrado CredSSP

Captura de pantalla

Depuración

• Hemos confirmado que las credenciales de usuario son correctas.

• Reinició la estación de trabajo.

• Los servicios de directorio prem confirmados están operativos.

• Las estaciones de trabajo aisladas aún por aplicar el parche de seguridad de mayo no se ven afectadas.

Sin embargo, se puede administrar mientras tanto en hosts permanentes, preocupados por el acceso al servidor basado en la nube. Todavía no hay ocurrencias en Server 2016.

Gracias

Basado completamente en la respuesta de Graham Cuthbert, creé un archivo de texto en el Bloc de notas con las siguientes líneas, y simplemente hice doble clic después (lo que debería agregar al Registro de Windows los parámetros que estén en el archivo).

Solo tenga en cuenta que la primera línea varía según la versión de Windows que esté utilizando, por lo que puede ser una buena idea abrir regedity exportar cualquier regla solo para ver qué hay en la primera línea y usar la misma versión en su archivo.

Además, no me preocupa la degradación de la seguridad en esta situación particular porque me estoy conectando a una VPN encriptada y el host Windows no tiene acceso a Internet y, por lo tanto, no tiene la última actualización.

Archivo rd_patch.reg:

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\CredSSP]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\CredSSP\Parameters]
"AllowEncryptionOracle"=dword:00000002

Para aquellos que desean algo fácil de copiar / pegar en un símbolo del sistema elevado:

reg add HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\CredSSP\Parameters /v AllowEncryptionOracle /t REG_DWORD /d 2 /f

El protocolo de proveedor de soporte de seguridad de credenciales (CredSSP) es un proveedor de autenticación que procesa las solicitudes de autenticación para otras aplicaciones.

Existe una vulnerabilidad de ejecución remota de código en versiones sin parchear de CredSSP. Un atacante que aprovecha esta vulnerabilidad con éxito podría transmitir las credenciales de usuario para ejecutar código en el sistema de destino. Cualquier aplicación que dependa de CredSSP para la autenticación puede ser vulnerable a este tipo de ataque.

[...]

13 de marzo de 2018

La versión inicial del 13 de marzo de 2018 actualiza el protocolo de autenticación CredSSP y los clientes de Escritorio remoto para todas las plataformas afectadas.

La mitigación consiste en instalar la actualización en todos los sistemas operativos elegibles del cliente y el servidor y luego usar la configuración de la directiva de grupo incluida o los equivalentes basados ​​en el registro para administrar las opciones de configuración en las computadoras cliente y servidor. Recomendamos que los administradores apliquen la política y la configuren en "Forzar clientes actualizados" o "Mitigada" en los equipos cliente y servidor lo antes posible. Estos cambios requerirán un reinicio de los sistemas afectados.

Preste mucha atención a los pares de configuración de registro o directiva de grupo que resultan en interacciones "bloqueadas" entre clientes y servidores en la tabla de compatibilidad más adelante en este artículo.

17 de abril de 2018

La actualización de la actualización del Cliente de escritorio remoto (RDP) en KB 4093120 mejorará el mensaje de error que se presenta cuando un cliente actualizado no se conecta a un servidor que no se ha actualizado.

8 de mayo de 2018

Una actualización para cambiar la configuración predeterminada de Vulnerable a Mitigada.

Fuente: https://support.microsoft.com/en-us/help/4093492/credssp-updates-for-cve-2018-0886-march-13-2018 [1]

Ver también este hilo reddit: https://www.reddit.com/r/sysadmin/comments/8i4coq/kb4103727_breaks_remote_desktop_connections_over/ [2]

Solución alternativa de Microsoft:

• Actualizar servidor y cliente. (requiere reinicio, recomendado)

No se recomiendan soluciones alternativas si su servidor está disponible públicamente, o si NO tiene un control de tráfico estricto en su red interna, pero a veces no se puede reiniciar el servidor RDP en horas de trabajo.

• Establezca la política de parches CredSSP a través de GPO o el Registro. (requiere reinicio o gpupdate / force)
• Desinstalar KB4103727 (no se requiere reiniciar)
• Creo que deshabilitar NLA (Autenticación de capa de red) también podría funcionar. (no se requiere reiniciar)

Asegúrese de comprender los riesgos al usarlos y parchear sus sistemas lo antes posible.

[1] Toda la descripción de GPO CredSSP y las modificaciones del registro se describen aquí.

[2] ejemplos de GPO y configuraciones de registro en caso de que el sitio de Microsoft caiga.

1. Vaya a "Editor de directivas de grupo local> Plantillas administrativas> Sistema> Delegación de credenciales> Cifrado Oracle Remediation", edítelo y actívelo, luego configure "Nivel de protección" en "Mitigada".
2. Establecer clave de registro (de 00000001 a 00000002) [HKEY_LOCAL_MACHINE \ SOFTWARE \ Microsoft \ Windows \ CurrentVersion \ Policies \ System \ CredSSP \ Parameters] "AllowEncryptionOracle" = dword:
3. Reinicie su sistema si es necesario.

Investigación

Refiriéndose a este artículo:

https://blogs.technet.microsoft.com/askpfeplat/2018/05/07/credssp-rdp-and-raven/

Actualización provisional de mayo de 2018 que podría afectar la capacidad de establecer conexiones de sesión RDP de host remoto dentro de una organización. Este problema puede ocurrir si el cliente local y el host remoto tienen configuraciones diferentes de "Remediación de Oracle de cifrado" dentro del registro que definen cómo construir una sesión RDP con CredSSP. Las opciones de configuración de "Remediación de Oracle de cifrado" se definen a continuación y si el servidor o el cliente tienen expectativas diferentes sobre el establecimiento de una sesión RDP segura, la conexión podría bloquearse.

Una segunda actualización, que se lanzará tentativamente el 8 de mayo de 2018, cambiará el comportamiento predeterminado de "Vulnerable" a "Mitigado".

Si observa que tanto el cliente como el servidor están parcheados, pero la configuración de política predeterminada se deja en "Vulnerable", la conexión RDP es "Vulnerable" para atacar. Una vez que la configuración predeterminada se modifica a "Mitigada", la conexión se convierte en "Segura" de forma predeterminada.

Resolución

Con base en esta información, procedo a garantizar que todos los clientes estén completamente parcheados, entonces esperaría que el problema se mitigue.

El valor del registro no estaba allí en mi máquina con Windows 10. Tuve que ir a la siguiente política de grupo local y aplicar el cambio en mi cliente:

Configuración de la computadora -> Plantillas administrativas -> Sistema -> Delegación de credenciales - Cifrado Oracle Remediation

Habilitar y establecer en valor a vulnerable.

Se recomienda actualizar el cliente en lugar de este tipo de scripts para evitar el error, pero bajo su propio riesgo puede hacerlo en el cliente y no es necesario reiniciar la PC del cliente. Tampoco es necesario cambiar nada en el servidor.

1. Abrir Run, escribir gpedit.mscy hacer clic OK.
2. Ampliar Administrative Templates.
3. Ampliar System.
4. Abierto Credentials Delegation.
5. En el panel derecho, haga doble clic en Encryption Oracle Remediation.
6. Seleccionar Enable.
7. Seleccionar Vulnerablede la Protection Levellista.

Esta configuración de directiva se aplica a las aplicaciones que usan el componente CredSSP (por ejemplo: Conexión a Escritorio remoto).

Algunas versiones del protocolo CredSSP son vulnerables a un ataque de cifrado oracle contra el cliente. Esta política controla la compatibilidad con clientes y servidores vulnerables. Esta política le permite establecer el nivel de protección deseado para la vulnerabilidad del oráculo de cifrado.

Si habilita esta configuración de directiva, se seleccionará la compatibilidad con la versión de CredSSP según las siguientes opciones:

Forzar clientes actualizados: las aplicaciones cliente que usan CredSSP no podrán recurrir a las versiones inseguras y los servicios que usan CredSSP no aceptarán clientes no parcheados. Nota: esta configuración no debe implementarse hasta que todos los hosts remotos admitan la versión más reciente.

Mitigada: las aplicaciones de cliente que usan CredSSP no podrán recurrir a la versión insegura, pero los servicios que usan CredSSP aceptarán clientes no parcheados. Consulte el siguiente enlace para obtener información importante sobre el riesgo que representan los clientes restantes sin parches.

Vulnerable: las aplicaciones de cliente que usan CredSSP expondrán los servidores remotos a ataques al admitir el retroceso a las versiones inseguras y los servicios que usan CredSSP aceptarán clientes sin parches.

8. Haz clic en Aplicar.
9. Haga clic en Aceptar.
10. Hecho.

Referencia

Este tipo tiene una solución para su problema exacto:

Esencialmente, tendrá que cambiar la configuración de GPO y forzar una actualización. Pero estos cambios requerirán un reinicio para tener efecto.

1. Copie estos dos archivos de una máquina recién actualizada;

   • C:\Windows\PolicyDefinitions\CredSsp.admx (Dtd hizo feb 2018)
   • C:\Windows\PolicyDefinitions\en-US\CredSsp.adml (Dtd, febrero de 2018: su carpeta local puede ser diferente, es decir, en-GB)

2. En un DC, navegue a:

   • C:\Windows\SYSVOL\sysvol\<your domain>\Policies\PolicyDefinitions
   • Cambiar el nombre de la corriente CredSsp.admxaCredSsp.admx.old
   • Copie el nuevo CredSsp.admxa esta carpeta.

3. En el mismo DC navegue a:

   • C:\Windows\SYSVOL\sysvol\<your domain>\Policies\PolicyDefinitions\en-US (o tu idioma local)
   • Cambiar el nombre de la corriente CredSsp.admlaCredSsp.adml.old
   • Copie el nuevo CredSsp.admlarchivo a esta carpeta.

4. Intente su política de grupo nuevamente.

https://www.petenetlive.com/KB/Article/0001433

Como otros han dicho, esto se debe a un parche de marzo que Microsoft lanzó. Lanzaron un parche de mayo el 8 de mayo que realmente aplica el parche de marzo. Entonces, si tiene una estación de trabajo que recibió el parche de mayo e intenta conectarse a un servidor que no recibió el parche de marzo, recibirá el mensaje de error en su captura de pantalla.

La resolución Realmente desea parchear los servidores para que tengan el parche de marzo. De lo contrario, mientras tanto, puede aplicar una directiva de grupo o edición de registro.

Puede leer instrucciones detalladas en este artículo: Cómo corregir la función de error de autenticación No se admite Error CredSSP Error RDP

También puede encontrar copias de los archivos ADMX y ADML en caso de que necesite encontrarlos.

Tengo el mismo problema. Los clientes están en Win7 y los servidores RDS son 2012R2, los clientes recibieron "Actualización acumulativa de calidad mensual de seguridad 2018-05 (kb4019264)". Después de quitar eso, todo bien.

Descubrí que algunas de nuestras máquinas habían dejado de realizar Windows Update (ejecutamos WSUS local en nuestro dominio) en algún momento de enero. Supongo que un parche anterior causó el problema (la máquina se quejaría por estar desactualizada, pero no instalaría los parches de Jan que dijo que necesitaban). Debido a la actualización de 1803, no podíamos usar Windows Update de MS directamente para solucionarlo (se agotaría el tiempo por alguna razón y las actualizaciones no se ejecutarían).

Puedo confirmar que si parches la máquina a la versión 1803, contiene la solución a esto. Si necesita una ruta rápida para solucionar esto, utilicé el Asistente de actualización de Windows (enlace superior que dice Actualización) para realizar la actualización directamente (por alguna razón, parece más estable que Windows Update).

Eliminamos la última actualización de seguridad KB410731 y pudimos conectarnos con máquinas con Windows 10 en la compilación 1709 y anteriores. Para las PC, podríamos actualizar a la compilación 1803, esto resolvió el problema sin desinstalar KB4103731.

Simplemente, intente deshabilitar Network Level Authenticationdesde el escritorio remoto. ¿Podría por favor comprobar la siguiente imagen:

Abra PowerShell como administrador y ejecute este comando:

REG ADD HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\System\CredSSP\Parameters\ /v AllowEncryptionOracle /t REG_DWORD /d 2

Intente ahora conectarse al servidor. Funcionará.

Encontré la respuesta aquí , así que no puedo reclamarla como mía, pero agregar la siguiente clave a mi registro y reiniciar me la arregló.

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\CredSSP\Parameters]
"AllowEncryptionOracle"=dword:00000002