Letzte 60 Tage bis zur nächsten Windows-Sicherheitshärtung angelaufen

Microsoft hat seinen "60-Tage Hinweis" zur bevorstehenden Ab­schal­tung des Kerberos PAC Validation Protocols für Windows 10, Win­dows 11 und Windows Server begonnen. Die Ab­schal­tung ge­schie­ht laut dem derzeitigen Zeitplan bis April 2025.

Durchsetzungsphase startet im April

Über die bevorstehenden Änderungen in Bezug auf das Kerberos PAC (Privilege Attribute Certificate) Validation Protocol hatten wir schon mehrfach berichtet. Eigentlich hätte das schon abgeschlossen sein sollen, doch es gab Verzöger­ungen.

Nun ist die heiße Phase angelaufen - in wenigen Wochen soll laut Microsoft die Windows-Sicherheitsarchitektur so geändert sein, dass die letzte Phase der Abschaltung beginnt, die Durchsetzungsphase. Im Windows-Nachrichtencenter heißt es jetzt dazu: "Bereiten Sie sich vor, den Erzwingungsmodus später in diesem Jahr vollständig zu aktivieren!".

Die Windows-Sicherheitsupdates, die im oder nach April 2025 veröffentlicht werden, entfernen die Unterstützung für die Registrierungsunterschlüssel PacSignatureValidationLevel und CrossDomainFilteringLevel und erzwingen das neue Sicher­heits­ver­halten. Nach der Installation des Updates vom April 2025 wird der Kompatibilitätsmodus nicht mehr unterstützt.

Microsoft hat diese Maßnahmen ergriffen, um zwei kritische Sicherheitslücken (CVE-2024-26248 und CVE-2024-29056) zu schließen, die das sogenannte Spoofing im Netzwerk ermöglichen. Diese Schwachstellen betreffen das PAC (Privilege Attribute Certificate), welches für die Kerberos-Authentifizierung zentrale Benutzerberechtigungen verwaltet.

Der Änderungsprozess begann im April 2024 mit der Einführung eines neuen Verhaltens, das beide Sicherheitsrisiken adressiert. Um die Maßnahmen wirksam umzusetzen, ist es notwendig, sowohl Windows-Domänencontroller als auch Clients auf den neuesten Stand zu bringen. Im dreistufigen Abschaltplan werden alle betroffenen Systeme automatisch auf die neue Sicherheitskonfiguration umgestellt.

Änderungen bald verbindlich

IT-Administratoren haben jedoch die Möglichkeit, bei Bedarf die Einstellungen anzupassen und in den Kompatibilitätsmodus zurückzukehren. Ab April 2025 wird das neue Sicherheitsverhalten jedoch verbindlich, ohne Rückkehrmöglichkeit zu den alten Modellen.

Wie bereitet ihr euch auf diese Änderungen vor? Seht ihr Herausforderungen für eure IT-Umgebung? Teilt eure Gedanken und Erfahrungen in den Kommentaren - eure Einblicke könnten anderen Administratoren helfen!


Siehe auch: