Windows Sunucularında Kerberos Hatası Windows Hello Girişlerini Etkiliyor
Microsoft, Nisan 2025 güvenlik güncellemelerinin ardından Windows Server sistemlerinde Kerberos ile yapılan Windows Hello oturum açma işlemlerinde sorun yaşandığını doğruladı. Şirket, bu durumun özellikle etki alanı denetleyicilerini (DC) etkilediğini belirtti.
KB5055523 Güncellemesi Sonrası Windows Hello için Kimlik Doğrulama Sorunu Oluştu
Microsoft’un 8 Nisan 2025 tarihinde yayınladığı aylık yama güncellemelerinden sonra Windows Server 2025 (KB5055523), Server 2022 (KB5055526), Server 2019 (KB5055519) ve Server 2016 (KB5055521) üzerinde çalışan etki alanı denetleyicileri, Windows Hello for Business oturum açma işlemlerinde Kerberos kimlik doğrulaması hataları vermeye başladı.
Şirket, bu hatanın msds-KeyCredentialLink alanı üzerinden anahtar güvenine (Key Trust) dayalı sertifika tabanlı kimlik doğrulama sistemlerinde ortaya çıktığını açıkladı. Bu sistemler, Device Public Key Authentication (Makine PKINIT) olarak da bilinen yöntemleri içeriyor. Sorundan etkilenen protokoller arasında Kerberos PKINIT ile Kerberos Kısıtlı Yetkilendirme (KCD) ve Kaynak Tabanlı Kısıtlı Yetkilendirme (RBKCD) bulunuyor.
Microsoft, bu problemin CVE-2025-26647 olarak izlenen bir Kerberos güvenlik açığını kapatmak amacıyla yayınladığı KB5057784 güncellemesiyle ilişkili olduğunu belirtti. Güncelleme, etki alanı denetleyicilerinin kimlik doğrulamada kullanılan sertifikaların NTAuth deposuna zincirlenip zincirlenmediğini kontrol etmesini zorunlu hâle getiriyor.
Bu davranış, kayıt defterindeki AllowNtAuthPolicyBypass değeriyle kontrol ediliyor. Eğer bu değer “1” olarak ayarlanmışsa denetleyici NTAuth denetimini atlıyor ancak olay günlüğüne sürekli 45 numaralı uyarı kaydı düşüyor. “2” olarak ayarlanmışsa sertifika geçerli sayılmadığı için kullanıcı oturum açamıyor ve günlükte 21 numaralı hata mesajı görüntüleniyor.
Microsoft, geçici çözüm olarak etki alanı denetleyicisinde bulunan HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Kdc yolundaki AllowNtAuthPolicyBypass değerinin “1” olarak ayarlanmasını öneriyor. Bu sayede kimlik doğrulama işlemleri başarısız olmadan devam ediyor. Ancak olay günlüğünde uyarılar görülmeye devam ediyor.
Bu sorundan akıllı kart kimlik doğrulama çözümleri ve üçüncü taraf tek oturum açma sistemlerinin de etkilenebileceği belirtiliyor.
