Microsoft, Etki Alanı Denetleyicisinde Bazı Kayıt Defteri Anahtarlarının Desteğini Sonlandırıyor
Microsoft, eylül ayında yayınlayacağı bir güncellemeyle Windows Etki Alanı Denetleyicisi (Domain Controller) sistemlerinde kullanılan bazı geçici kayıt defteri anahtarlarının desteğini sonlandıracak. Şirket, bir güvenlik açığına karşı geçici çözüm olarak sunulan bu anahtarların artık işlevsiz hâle geleceğini duyurdu.
Güvenlik Güncellemeleri Yeni Süreci Başlattı
Microsoft, Mayıs 2022’de KKerberos Anahtar Dağıtım Merkezi (KDC) üzerinde bulunan CVE-2022-34691, CVE-2022-26931 ve CVE-2022-26923 güvenlik açıklarını kapatmak için güncellemeler yayınladı. Bu açıklar, makine adlarının sonunda yer alan dolar işaretinin (“$”) yanlış yorumlanmasından kaynaklanıyordu. Saldırganlar bu durumdan yararlanarak sahte sertifikalar oluşturabiliyordu. Şirket, o tarihten bu yana uyumluluk sorunlarını azaltmak için geçiş süreci tanıdı.
Geçici çözüm kapsamında sisteme eklenen StrongCertificateBindingEnforcement kayıt defteri anahtarı, 9 Eylül’de yayınlanacak güncellemeyle işlevini yitirecek. Bu anahtar, sertifika tabanlı kimlik doğrulama için geçici uyumluluk modu sağlıyordu. Yöneticiler, anahtar sayesinde zayıf eşlemelere rağmen kimlik doğrulama yapabiliyordu. Ancak Microsoft, güncellemeyle birlikte bu yaklaşımı sonlandırarak yalnızca güçlü sertifika eşleştirmelerine izin verecek.
Bir diğer geçici çözüm olan CertificateBackdatingCompensation anahtarı da aynı tarihte devre dışı bırakılacak. Bu anahtar, sertifika tarihinin kullanıcı hesabı oluşturulma tarihinden önce olması hâlinde kimlik doğrulamasına izin veriyordu. Ancak güvenlik açısından riskli görülen bu esnekliğe güncellemelerle birlikte izin verilmeyecek.
Microsoft, güncellemeyle birlikte uyumluluk moduna dönüş seçeneğini de kapatıyor. Yöneticiler, sistemlerini tam zorunluluk moduna geçirdikten sonra tekrar uyumluluk moduna dönme imkânını kaybedecek. Şirket, yöneticilerin olası kesintiler yaşamaması için detaylı teknik belgeleri incelemesini önerdi.
