KB5004605：更新新增了 AES 加密保護至 CVE-2021-33757 的 MS-SAMR 通訊協定

• 密碼變更模式

  更新透過新增將使用 AES 的新密碼變更方法來修改通訊協定的密碼變更模式。

  使用 RC4 的舊方法	使用 AES 的新方法
  SamrUnicodeChangePasswordUser2 (OpNum 55)	SamrUnicodeChangePasswordUser4 (OpNum 73)

  有關 MS-SAMR OpNums 的完整清單，請參閱訊息處理事件和排序規則。

• 密碼設定模式

  更新透過將兩個新的使用者資訊類別添加到 SamrSetInformationUser2 (Opnum 58) 方法來修改通訊協定的密碼設定模式。 您可以按如下所示設定密碼資訊。

  使用 RC4 的舊方法	使用 AES 的新方法
  SamrSetInformationUser2 (Opnum 58) 與 UserInternal4InformationNew。	SamrSetInformationUser2 (Opnum 58) 與 UserInternal8Information。
  SamrSetInformationUser2 (Opnum 58) 與 UserInternal5InformationNew。	SamrSetInformationUser2 (Opnum 58) 與 UserInternal7Information。

現有的 SamrConnect5 方法通常用來在 SAM 用戶端與伺服器之間建立連接。

更新的伺服器現在將在 SamrConnect5() 回應中返回新位，如 SAMPR_REVISION_INFO_V1 中定義。 

值	意義
0x00000010	在用戶端收到時，此值（如果已設定）表示用戶端應該使用 AES 加密與 SAMPR_ENCRYPTED_PASSWORD_AES 結構來加密透過綫路發送的密碼緩衝區。 請參閱 AES 密碼用法（3.2.2.4 節）和 SAMPR_ENCRYPTED_PASSWORD_AES（2.2.6.32 節）。

如果更新的伺服器支援 AES，用戶端會使用新方法和新資訊類別進行密碼作業。 如果伺服器未返回此標號或用戶端未更新，用戶端會回退到使用先前的 RC4 加密方法。

密碼設定作業需要一個可寫入的網域控制站 (RWDC)。 密碼變更會由唯讀網域控制站 (RODC) 轉到 RWDC。 所有裝置都必須更新，以便使用 AES。 例如：

• 如果用戶端、RODC 或 RWDC 未更新，將會使用 RC4 加密。

• 如果用戶端、RODC 和 RWDC 均更新，將會使用 AES 加密。

2021 年 7 月 13 日更新會新增四個新事件至系統記錄檔，協助識別未更新的裝置，並幫助提升安全性。

• 設定狀態事件識別碼 16982 或 16983 會在啟動時或登錄設定變更時記錄。
  
  事件識別碼 16982

  事件記錄檔	系統
  事件來源	Directory-Services-SAM
  事件識別碼	16982
  層級	資訊
  事件訊息文字	安全性帳戶管理員現在為呼叫舊版密碼變更或設定 RPC 方法的遠端用戶端記錄詳細事件。 此設定可能會導致大宗訊息，因此應該只在短時間内用于診斷問題。

  
  事件識別碼 16983

  事件記錄檔	系統
  事件來源	Directory-Services-SAM
  事件識別碼	16983
  層級	資訊
  事件訊息文字	安全性帳戶管理員現在為呼叫舊版密碼變更或設定 RPC 方法的遠端用戶端記錄定期摘要事件。

• 在套用 2021 年 7 月 13 日更新之後，會每隔 60 分鐘將摘要事件 16984 記錄至系統事件記錄檔。
  
  事件識別碼 16984

  事件記錄檔	系統
  事件來源	Directory-Services-SAM
  事件識別碼	16984
  層級	資訊
  事件訊息文字	安全帳戶管理員在過去 60 分鐘內偵測到 %x 舊版密碼變更或設定 RPC 方法呼叫。

• 設定詳細事件記錄之後，每次使用舊版 RPC 方法變更或設定帳戶密碼時，事件識別碼 16985 都會被記錄到系統事件記錄檔。
  
  事件識別碼 16985

  事件記錄檔	系統
  事件來源	Directory-Services-SAM
  事件識別碼	16985
  層級	資訊
  事件訊息文字	安全性帳戶管理員從網路用戶端偵測到使用舊版方法變更或設定 RPC 方法。 請考慮升級用戶端作業系統或應用程式，以使用此方法的最新且更安全的版本。 詳細資料: RPC 方法：%1 用戶端網路位址：%2 用戶端 SID：%3 使用者名稱：%4

  若要記錄詳細事件識別碼 16985，請切換伺服器或網域控制站上的下列登錄值。

  路徑	HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\SAM
  類型	REG_DWORD
  值名稱	AuditLegacyPasswordRpcMethods
  數值資料	1 = 已啟用詳細事件記錄  0 或不顯示 = 已停用詳細事件記錄。 僅摘要事件。 (預設值)

如 SamrUnicodeChangePasswordUser4 (Opnum 73) 中所述，當您使用新的 SamrUnicodeChangePasswordUser4 方法時，用戶端和伺服器會使用 PBKDF2 演算法，從純文字舊密碼衍生加密和解密金鑰。 這是因為舊密碼是伺服器和用戶端唯一已知的共同密碼。  

有關 PBKDF2 的更多資訊，請參閱 BCryptDeriveKeyPBKDF2 函數 (bcrypt.h)。

如果您基於效能和安全性考慮必須變更，您可以設定用戶端上的下列登錄值，以調整用戶端用於密碼變更的 PBKDF2 反覆運算次數。

路徑	HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\SAM
類型	REG_DWORD
值名稱	PBKDF2Iterations
數值資料	最小值 5,000 到最大值 1,000,000
預設值	10,000

有關詳細資訊，請參閱取得 SMB 工作階段金鑰。

當伺服器或用戶端不支援 AES 時，會發生降級。   

使用舊版 RC4 方法時，更新的伺服器會記錄事件。 

目前沒有可用的強制執行模式，但未來可能會有強制模式。 我們無法告知具體時間。 

如果協力廠商裝置並未使用 SAMR 通訊協定，則這一點並不重要。 執行 MS-SAMR 通訊協定的協力廠商可能會選擇執行此協定。 如有任何問題，請聯絡協力廠商。 

不需要任何進行其他變更。  

此通訊協定為舊版，而且我們預期其使用率極低。 舊版應用程式可能會使用這些 API。 此外，某些 Active Directory 工具（例如 AD 使用者和電腦 MMC）會使用 SAMR。

不會。 只有使用這些特定 SAMR API 的密碼變更會受影響。

可以。 PBKDF2 比 RC4 貴。 如果在呼叫 SamrUnicodeChangePasswordUser4 API 的網域控制站上同時發生許多密碼變更，LSASS 的 CPU 負載可能會受到影響。 如有需要，您可以在用戶端上調整 PBKDF2 反覆運算，但我們不建議從預設值減少，因為這樣做會降低安全性。