Ошибка An authentication error has occured. CredSSP encryption oracle remediation.

Ошибка An authentication error has occured. CredSSP encryption oracle remediation.

Проблема:

 В последнее время от пользователей стало поступать много жалоб на ошибку An authentication error has occured. The function requested is not supported. This could be due to CredSSP encryption oracle remediation при подключении к удаленным компьютерам по RDP. В результате «раскопок» была обнаружена статья, многое объясняющая.

8 мая 2018 года компания Microsoft выпустила новое обновление устраняющее уязвимость в удалённом выполнении кода в незакрепленных версиях CredSSP (поставщик проверки подлинности, который обрабатывает запросы проверки подлинности для других приложений). Злоумышленники, использующие эту уязвимость, могли передавать данные пользователя для выполнения кода в целевой системе, включая установку и удаление произвольного программного обеспечения, удаление или изменение данных на сервере, создание учётных записей с любыми правами. При этом, после обновления, многие пользователи, при попытке подключения к удалённому рабочему столу, столкнулись с ошибкой «CredSSP encryption oracle remediation»:

На самом деле это не ошибка, а уведомление о проблеме безопасности давно не обновлённого сервера.

Microsoft отреагировала на уязвимость и приступила к устранению проблемы, поделив шаги на 3 этапа.

Первый этап – обновление от 13 марта 2018 года, для CredSSP и RDP, которое закрывает дыру в безопасности и добавляет новый пункт в групповые политики.

Второй этап – обновление от 17 апреля 2018 года, которое предупреждает о небезопасном соединении, если у сервера или клиента будут уязвимые CredSSP или RDP.

Третий этап – как раз обновление от 8 мая 2018 г.

Решение:

Для решения проблемы требуется на время отключить на компьютере, с которого Вы пытаетесь подключиться, данное блокирующее уведомление о проблеме безопасности.

Откройте редактор групповых политик.  Для этого запустите «Выполнить»(нажав клавишу Win + R). В диалоговом окне наберите «gpedit.msc» или найдите его через поиск, набрав «Edit group policy»(Изменение групповой политики).

Политика должна располагаться по пути:

Computer Configuration -> Administrative Templates -> System -> Credentials Delegation -> Encryption Oracle Remediation

Конфигурация компьютера -> Административные шаблоны -> Система -> Передача учётных данных -> Исправление уязвимости шифрующего оракула

Политика имеет 3 опции:

1. Vulnerable (оставить уязвимость) – клиенты смогут подключаться как раньше, независимо от того, пропатчены они или нет. Это уязвимый уровень безопасности.

2. Mitigated (уменьшить риск) – клиенты не смогут подключаться к непропатченым серверам. В свою очередь, серверы смогут принимать непропатченных клиентов. Средний уровень безопасности.

3. Force Updated Clients (принудительно принимать обновленные клиенты) – безопасный уровень взаимодействия клиентов. Соединение установлено не будет, если один из пары клиент-сервер имеет не пропатченный RDP.

Включите политику, выбрав «Enabled» (Включено), и установите значение параметра в выпадающем списке «Vulnerable» (Оставить уязвимость).

После проделанных действий, Вы сможете подключаться к серверу так же, как и раньше.

А чтобы всё было «секьюрненько»:

Как только вы подключились к серверу, установите последние обновления Windows. Если при попытке установки обновления возникает ошибка , проверьте запущена ли служба «Windows Update».

Служба располагается по пути:

Start -> Control Panel -> Administrative Tools -> Services

Пуск -> Панель управления -> Администрирование -> Службы

Если служба не запускается, проверьте, разрешён ли её запуск – статус не должен быть «Disabled» (Отключена).

Для Windows Server2008R2SP1 или Server2012R2 можно установить не все обновления, а только устраняющее эту уязвимость. Это сократит время на решение проблемы подключения к серверу.

Скачать обновление можно с сайта Microsoft на странице описания уязвимости (https://portal.msrc.microsoft.com/en-us/security-guidance/ad…):

После обновления сервера,  в политике «Encryption Oracle Remediation»(Исправление уязвимости шифрующего оракула) измените опцию с Vulnerable (оставить уязвимость), на Force Updated Clients(принудительно принимать обновленные клиенты).  Соответственно, все клиенты должны быть так же обновлены. Или на Mitigated(уменьшить риск) — это даст возможность подключаться к серверу непропатченным клиентам.