Windows 10/11: Erstes DC-Härtungsupdate für 2025 startet

Microsoft startet Stufe 2 der Abschaltung des Kerberos PAC Validation Protocols für Windows 10, 11 und Server. Nach den letzten Verzög­er­ungen beim Zeitplan für diese Si­cher­heits­här­tung sieht es nun so aus, dass die Än­de­run­gen im April 2025 ab­ge­schlos­sen werden.

Standardmäßig erzwungene Phase startet

Das berichtet das Online-Magazin Neowin und bezieht sich dabei auf die von Microsoft selbst veröffentlichte Roadmap. Dabei heißt es, dass das Update KB5037754 die "Standardmäßig erzwungene Phase" startet. Dahinter verbirgt sich ein Härtungs-Update für Domain Controller (DC). Diese Härtung bezieht sich im Wesentlichen auf den Prozess der Sicherung des Betriebssystems durch die Verringerung seiner Angriffsfläche und die Abschwächung potenzieller Schwachstellen.

Diese Maßnahmen sollen vor den Schwachstellen CVE-2024-26248 und CVE-2024-29056 Kerberos PAC (Privilege Attribute Certificate) sowie vor der Black Lotus Secure Boot-Schwachstelle schützen. Die DC-Sicherheitshärtung stärkt die Server, auf denen Azure Active Directory (AD) ausgeführt wird, um das Risiko eines unbefugten Zugriffs und von Datenverletzungen zu verringern, und wird schrittweise implementiert.


Zuvor hatte Microsoft im April 2024 die erste Bereitstellungsphase mit den Updates, die am 9. April 2024 veröffentlicht wurden. Diese erste Phase wurde auch Kompatibilitätsmodus genannt. Im Herbst 2024 wurde dann die Roadmap geändert, sodass es erst jetzt weitergeht.

Der Zeitplan ist wie folgt:

In der vorangegangenen Phase, die im Oktober 2024 begann, wurden Secure Boot-Bypass-Schutzmaßnahmen im Rahmen der obligatorischen Durchsetzungsphase durchgesetzt.

Mit dem Eintritt in die standardmäßig erzwungene Phase für die Kerberos PAC können Administratoren diese Regeln noch überschreiben, damit ist dann im April Schluss. Weitere Details gibt es im Support-Artikel KB5036534 auf der offiziellen Website von Microsoft. Ein Domänencontroller, der nicht aktualisiert wird, erkennt die neue Anforderungsstruktur nicht.

Dies führt dann dazu, dass die Sicherheitsüberprüfung fehlschlägt. Im Kompatibilitätsmodus wird die alte Anforderungsstruktur verwendet, in der standardmäßig erzwungene Phase nicht mehr. Infografik Sicherheit im Netz: Deutsche fürchten sich vor Datenmissbrauch Neu hinzugekommen ist jetzt noch einmal die Phase 3, die im Februar startet, in der laut Microsoft die zertifikatsbasierte Authentifizierung verpflichtend ist: "Vollständiger Durchsetzungsmodus. Wenn ein Zertifikat nicht eindeutig zugeordnet werden kann, wird die Authentifizierung verweigert", erklärt der Support-Artikel.

Kerberos ist ein weitverbreitetes Netzwerk-Authentifizierungsprotokoll, das seit den 1980er Jahren entwickelt wurde.

Es wurde ursprünglich am Massachusetts Institute of Technology (MIT) entworfen. Der Name "Kerberos" stammt aus der griechischen Mythologie und bezieht sich auf den dreiköpfigen Höllenhund, der den Eingang zur Unterwelt bewacht - eine Anspielung auf die drei Parteien, die an der Kerberos-Authentifizierung beteiligt sind: Client, Server und Key Distribution Center (KDC).

Wie bereitet ihr euch auf diese Änderungen vor? Seht ihr Herausforderungen für eure IT-Umgebung? Teilt eure Gedanken und Erfahrungen in den Kommentaren - eure Einblicke könnten anderen Administratoren helfen!


Siehe auch: