KB5014754: Alterações de autenticação baseada em certificado nos controladores de domínio do Windows

Não foi possível localizar mapeamentos de certificados fortes e o certificado não tinha a nova extensão de identificador de segurança (SID) que o KDC poderia validar.

Registo de Eventos	Sistema
Tipo de Evento	Aviso se o KDC estiver no modo de Compatibilidade Erro se o KDC estiver no modo de Imposição
Origem do Evento	Kdcsvc
ID de Evento	39 41 (Para Windows Server 2008 R2 SP1 e Windows Server 2008 SP2)
Texto do Evento	O Centro de Distribuição de Chaves (KDC) encontrou um certificado de utilizador que era válido, mas que não podia ser mapeado a um utilizador de forma segura (por exemplo, através de mapeamento explícito, mapeamento de fidedignidade de chave ou um SID). Esses certificados devem ser substituídos ou mapeados diretamente para o utilizador através do mapeamento explícito. Veja https://go.microsoft.com/fwlink/?linkid=2189925 para saber mais. Utilizador: <nome principal> Requerente do Certificado: <nome do Requerente no> de Certificado Emissor de Certificados: <Nome de Domínio Completamente Qualificado (FQDN) > Número de Série do Certificado: <Número de Série de> de Certificado Thumbprint do Certificado: <Thumbprint do Certificado>

O certificado foi emitido para o utilizador antes de o utilizador existir no Active Directory e não foi possível encontrar um mapeamento forte. Este evento só é registado quando o KDC está no modo de Compatibilidade.

Registo de Eventos	Sistema
Tipo de Evento	Erro
Origem do Evento	Kdcsvc
ID de Evento	40 48 (Para Windows Server 2008 R2 SP1 e Windows Server 2008 SP2
Texto do Evento	O Centro de Distribuição de Chaves (KDC) encontrou um certificado de utilizador que era válido, mas que não podia ser mapeado a um utilizador de forma segura (por exemplo, através de mapeamento explícito, mapeamento de fidedignidade de chave ou um SID). O certificado também antecedeu o utilizador ao qual mapeou, pelo que foi rejeitado. Veja https://go.microsoft.com/fwlink/?linkid=2189925 para saber mais. Utilizador: <nome principal> Requerente do Certificado: <nome do Requerente no> de Certificado Emissor de Certificados:> do FQDN do Emissor de < Número de Série do Certificado: <Número de Série de> de Certificado Thumbprint do Certificado: <Thumbprint do Certificado> Hora de Emissão de Certificados: <FILETIME do certificado> Hora de Criação da Conta: <FILETIME do objeto principal no AD>

O SID contido na nova extensão do certificado de utilizadores não corresponde ao SID dos utilizadores, o que implica que o certificado foi emitido para outro utilizador.

Registo de Eventos	Sistema
Tipo de Evento	Erro
Origem do Evento	Kdcsvc
ID de Evento	41 49 (Para Windows Server 2008 R2 SP1 e Windows Server 2008 SP2)
Texto do Evento	O Centro de Distribuição de Chaves (KDC) encontrou um certificado de utilizador que era válido, mas continha um SID diferente do utilizador para o qual mapeou. Como resultado, o pedido que envolve o certificado falhou. Veja https://go.microsoft.cm/fwlink/?linkid=2189925 para saber mais. Utilizador: <nome principal> SID do Utilizador: <SID do principal de autenticação> Requerente do Certificado: <nome do Requerente no> de Certificado Emissor de Certificados:> do FQDN do Emissor de < Número de Série do Certificado: <Número de Série de> de Certificado Thumbprint do Certificado: <Thumbprint do Certificado> SID do Certificado: <SID encontrado na nova Extensão de Certificado>

Nota Determinados campos, como Emissor, Assunto e Número de Série, são comunicados num formato "reencaminhar". Tem de inverter este formato quando adicionar a cadeia de mapeamento ao atributo altSecurityIdentities . Por exemplo, para adicionar o mapeamento X509IssuerSerialNumber a um utilizador, pesquise os campos "Emissor" e "Número de Série" do certificado que pretende mapear para o utilizador. Veja o resultado de exemplo abaixo.

• Emissor: CN=CONTOSO-DC-CA, DC=contoso, DC=com

• SerialNumber: 2B0000000011AC0000000012

Em seguida, atualize o atributo altSecurityIdentities do utilizador no Active Directory com a seguinte cadeia:

• "X509:<I>DC=com,DC=contoso,CN=CONTOSO-DC-CA<SR>1200000000AC11000000002B"

Para atualizar este atributo com o PowerShell, poderá utilizar o comando abaixo. Tenha em atenção que, por predefinição, apenas os administradores de domínio têm permissão para atualizar este atributo.

• set-aduser 'DomainUser' -substitua @{altSecurityIdentities= "X509:<I>DC=com,DC=contoso,CN=CONTOSO-DC-CA<SR>120000000AC1100000002B"}

Tenha em atenção que, quando inverter o SerialNumber, tem de manter a ordem de bytes. Isto significa que reverter o SerialNumber "A1B2C3" deve resultar na cadeia "C3B2A1" e não "3C2B1A". Para obter mais informações, veja HowTo: Mapear um utilizador para um certificado através de todos os métodos disponíveis no atributo altSecurityIdentities.

Depois de instalar as atualizações do Windows de 10 de maio de 2022, os dispositivos estarão no modo de Compatibilidade. Se um certificado puder ser fortemente mapeado para um utilizador, a autenticação ocorrerá conforme esperado. Se um certificado só puder ser mapeado de forma fraca para um utilizador, a autenticação ocorrerá conforme esperado. No entanto, será registada uma mensagem de aviso, a menos que o certificado seja mais antigo do que o utilizador. Se o certificado for mais antigo do que o utilizador e a chave de registo de Backdating de Certificados não estiver presente ou se o intervalo estiver fora da compensação de backdating, a autenticação falhará e será registada uma mensagem de erro.  Se a chave de registo de Backdating do Certificado estiver configurada, registará uma mensagem de aviso no registo de eventos se as datas se enquadrarem na compensação de backdating.

Depois de instalar as atualizações do Windows de 10 de maio de 2022, watch para qualquer mensagem de aviso que possa aparecer após um mês ou mais. Se não existirem mensagens de aviso, recomendamos vivamente que ative o modo de Imposição Total em todos os controladores de domínio através da autenticação baseada em certificados. Pode utilizar a chave de registo KDC para ativar o modo de Imposição Total.

A menos que seja atualizado para este modo anteriormente, atualizaremos todos os dispositivos para o modo de Imposição Completa até 11 de fevereiro de 2025 ou posterior. Se um certificado não puder ser mapeado de forma segura, a autenticação será negada. A opção para voltar ao modo de Compatibilidade permanecerá até 10 de setembro de 2025. Após esta data, o valor do registo StrongCertificateBindingEnforcement deixará de ser suportado.

Se a autenticação baseada em certificado depender de um mapeamento fraco que não pode mover do ambiente, pode colocar controladores de domínio no modo Desativado através de uma definição de chave de registo. A Microsoft não o recomenda e iremos remover o modo Desativado a 11 de abril de 2023.

Depois de instalar as atualizações de 13 de fevereiro de 2024 ou posteriores do Windows no Servidor 2019 e superior e os clientes suportados com a funcionalidade opcional RSAT instalada, o mapeamento de certificados em Utilizadores do Active Directory & Computadores irá, por predefinição, selecionar o mapeamento forte utilizando o X509IssuerSerialNumber em vez de um mapeamento fraco utilizando o X509IssuerSubject. A definição ainda pode ser alterada conforme pretendido.

• Utilize o registo Operacional kerberos no computador relevante para determinar que controlador de domínio está a falhar o início de sessão. Aceda a Visualizador de Eventos > Registos de Aplicações e Serviços\Microsoft \Windows\Security-Kerberos\Operational.

• Procure eventos relevantes no Registo de Eventos do Sistema no controlador de domínio no qual a conta está a tentar autenticar-se.

• Se o certificado for mais antigo do que a conta, reedita o certificado ou adicione um mapeamento altSecurityIdentities seguro à conta (veja Mapeamentos de certificados).

• Se o certificado contiver uma extensão sid, verifique se o SID corresponde à conta.

• Se o certificado estiver a ser utilizado para autenticar várias contas diferentes, cada conta precisará de um mapeamento altSecurityIdentities separado.

• Se o certificado não tiver um mapeamento seguro para a conta, adicione um ou deixe o domínio no modo de Compatibilidade até que um possa ser adicionado.

Um exemplo de mapeamento de certificados TLS é a utilização de uma aplicação Web da intranet do IIS.

• Depois de instalar as proteções CVE-2022-26391 e CVE-2022-26923 , estes cenários utilizam o protocolo Kerberos Certificate Service for User (S4U) para mapeamento e autenticação de certificados por predefinição.

• No protocolo Kerberos Certificate S4U, o pedido de autenticação flui do servidor da aplicação para o controlador de domínio e não do cliente para o controlador de domínio. Por conseguinte, os eventos relevantes estarão no servidor da aplicação.

Esta chave de registo altera o modo de imposição do KDC para Modo desativado, Modo de compatibilidade ou modo de Imposição Completa.

Subchave de Registo	HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Kdc
Valor	StrongCertificateBindingEnforcement
Tipo de Dados	REG_DWORD
Dados	1 – Verifica se existe um mapeamento de certificados forte. Se sim, a autenticação é permitida. Caso contrário, o KDC verificará se o certificado tem a nova extensão sid e validá-la-á. Se esta extensão não estiver presente, a autenticação é permitida se a conta de utilizador anterior ao certificado. 2 – Verifica se existe um mapeamento de certificados forte. Se sim, a autenticação é permitida. Caso contrário, o KDC verificará se o certificado tem a nova extensão sid e validá-la-á. Se esta extensão não estiver presente, a autenticação será negada. 0 – desativa a verificação de mapeamento de certificados forte. Não recomendado porque esta ação irá desativar todos os melhoramentos de segurança. Se definir esta opção como 0, também tem de definir CertificateMappingMethods para 0x1F conforme descrito na secção chave de registo Schannel abaixo para que a autenticação baseada em certificados do computador seja bem-sucedida..
Reinício Obrigatório?	Não

Quando uma aplicação de servidor requer autenticação de cliente, o Schannel tenta automaticamente mapear o certificado que o cliente TLS fornece a uma conta de utilizador. Pode autenticar os utilizadores que iniciam sessão com um certificado de cliente ao criar mapeamentos que relacionam as informações do certificado com uma conta de utilizador do Windows. Depois de criar e ativar um mapeamento de certificados, sempre que um cliente apresentar um certificado de cliente, a aplicação de servidor associa automaticamente esse utilizador à conta de utilizador do Windows adequada.

O Schannel tentará mapear cada método de mapeamento de certificados que ativou até que um seja bem-sucedido. O Schannel tenta mapear primeiro os mapeamentos Service-For-User-To-Self (S4U2Self). Os mapeamentos de certificados Subject/Issuer, Issuer e UPN são agora considerados fracos e foram desativados por predefinição. A soma de máscara de bits das opções selecionadas determina a lista de métodos de mapeamento de certificados que estão disponíveis.

A predefinição da chave de registo SChannel foi 0x1F e está agora 0x18. Se ocorrer falhas de autenticação com aplicações de servidor baseadas em Schannel, sugerimos que realize um teste. Adicione ou modifique o valor da chave de registo CertificateMappingMethods no controlador de domínio e defina-o como 0x1F e veja se isso resolve o problema. Procure nos registos de eventos do Sistema no controlador de domínio quaisquer erros listados neste artigo para obter mais informações. Tenha em atenção que a alteração do valor da chave de registo SChannel novamente para a predefinição anterior (0x1F) reverterá para a utilização de métodos de mapeamento de certificados fracos.

Subchave de Registo	HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\SecurityProviders\Schannel
Valor	CertificateMappingMethods
Tipo de Dados	DWORD
Dados	0x0001 – Mapeamento de certificados do Requerente/Emissor (fraco – Desativado por predefinição) 0x0002 – Mapeamento de certificados do Emissor (fraco – Desativado por predefinição) 0x0004 – mapeamento de certificados UPN (fraco – Desativado por predefinição) 0x0008 - Mapeamento de certificados S4U2Self (forte) 0x0010 – Mapeamento de certificados explícitos S4U2Self (forte)
Reinício Obrigatório?	Não

Para obter recursos e suporte adicionais, veja a secção "Recursos adicionais".

Depois de instalar as atualizações que abordam o CVE-2022-26931 e o CVE-2022-26923, a autenticação pode falhar nos casos em que os certificados de utilizador são mais antigos do que a hora de criação dos utilizadores. Esta chave de registo permite a autenticação com êxito quando está a utilizar mapeamentos de certificados fracos no seu ambiente e a hora do certificado é anterior à hora de criação do utilizador dentro de um intervalo definido. Esta chave de registo não afeta utilizadores ou computadores com mapeamentos de certificados fortes, uma vez que a hora do certificado e a hora de criação do utilizador não são verificadas com mapeamentos de certificados fortes. Esta chave de registo não tem qualquer efeito quando StrongCertificateBindingEnforcement está definido como 2.

A utilização desta chave de registo é uma solução temporária para ambientes que a exigem e têm de ser feitas com cuidado. Utilizar esta chave de registo significa o seguinte para o seu ambiente:

• Esta chave de registo só funciona no modo de Compatibilidade a partir das atualizações disponibilizadas a 10 de maio de 2022. A autenticação será permitida no desvio da compensação de back-endting, mas será registado um aviso de registo de eventos para o enlace fraco.

• Ativar esta chave de registo permite a autenticação do utilizador quando a hora do certificado é anterior à hora de criação do utilizador num intervalo definido como um mapeamento fraco. Os mapeamentos fracos não serão suportados após a instalação de atualizações para o Windows lançadas a 10 de setembro de 2025.

Subchave de Registo	HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Kdc
Valor	CertificateBackdatingCompensation
Tipo de Dados	REG_DWORD
Dados	Valores para solução em anos aproximados: 50 anos: 0x5E0C89C0 25 anos: 0x2EFE0780 10 anos: 0x12CC0300 5 anos: 0x9660180 3 anos: 0x5A39A80 1 ano: 0x1E13380 Nota Se souber a duração dos certificados no seu ambiente, defina esta chave de registo como ligeiramente mais longa do que a duração do certificado.  Se não souber a duração do certificado para o seu ambiente, defina esta chave de registo como 50 anos. A predefinição é de 10 minutos quando esta chave não está presente, o que corresponde aos Serviços de Certificados do Active Directory (ADCS). O valor máximo é 50 anos (0x5E0C89C0). Esta chave define a diferença de tempo, em segundos, que o Centro de Distribuição de Chaves (KDC) irá ignorar entre o tempo de emissão de um certificado de autenticação e o tempo de criação da conta para contas de utilizador/computador. Importante Defina esta chave de registo apenas se o seu ambiente o exigir. A utilização desta chave de registo está a desativar uma verificação de segurança.
Reinício Obrigatório?	Não

Execute o seguinte comando certutil para excluir certificados do modelo de utilizador de obter a nova extensão.

1. Inicie sessão num servidor de Autoridade de Certificação ou num cliente de Windows 10 associado a um domínio com o administrador da empresa ou com as credenciais equivalentes.

2. Abra uma linha de comandos e escolha Executar como administrador.

3. Execute certutil -dstemplate user msPKI-Enrollment-Flag +0x00080000. 

Desativar a adição desta extensão removerá a proteção fornecida pela nova extensão. Considere fazê-lo apenas após um dos seguintes procedimentos:

1. Confirme que os certificados correspondentes não são aceitáveis para a Criptografia de Chave Pública para Autenticação Inicial (PKINIT) nas autenticações do Protocolo Kerberos na KDC

2. Os certificados correspondentes têm outros mapeamentos de certificados fortes configurados

Os ambientes que tenham implementações de AC que não sejam da Microsoft não serão protegidos através da nova extensão sid após a instalação da atualização do Windows de 10 de maio de 2022. Os clientes afetados devem trabalhar com os fornecedores de AC correspondentes para resolver este problema ou devem considerar a utilização de outros mapeamentos de certificados fortes descritos acima.

Para obter recursos e suporte adicionais, veja a secção "Recursos adicionais".

Não, a renovação não é necessária. A AC será enviada no modo de Compatibilidade. Se quiser um mapeamento forte com a extensão ObjectSID, precisará de um novo certificado.

Na atualização do Windows de 11 de fevereiro de 2025, os dispositivos que ainda não se encontrem na Imposição (o valor do registo StrongCertificateBindingEnforcement está definido como 2) serão movidos para imposição. Se a autenticação for negada, verá id de evento 39 (ou ID de Evento 41 para Windows Server 2008 R2 SP1 e Windows Server 2008 SP2). Nesta fase, terá a opção de definir o valor da chave de registo como 1 (modo de compatibilidade).

Na atualização do Windows de 10 de setembro de 2025, o valor do registo StrongCertificateBindingEnforcement deixará de ser suportado. ​​​​​​​