Windows-Sicherheitshärtung:
Kerberos-Kompatibilität abgeschaltet

Microsoft hatte im Februar mit dem 60-Tage-Countdown zur bevor­stehenden Ab­schal­tung des Kerberos PAC Validation Protocols für Windows 10, Win­dows 11 und Windows Server begonnen. Nun er­folgt die letzte Phase der Sicherheitshärtung.

Durchsetzungsphase gestartet

Über die bevorstehenden Änderungen in Bezug auf das Kerberos PAC (Privilege Attribute Certificate) Validation Protocol hatten wir schon mehrfach berichtet. Eigentlich hätte das schon abgeschlossen sein sollen, doch es gab Verzöger­ungen.

Nun ist die nächste Stufe aktiv. Wie angekündigt startet im April 2025 eine neue Sicherheitsphase für Windows-Systeme. Im Windows-Nachrichtencenter heißt es jetzt dazu:

Die Windows-Sicherheitsupdates, die im oder nach April 2025 veröffentlicht wurden, entfernen die Unterstützung für die Registrierungsunterschlüssel "PacSignatureValidationLevel' und 'CrossDomainFilteringLevel' und erzwingen das neue sichere Verhalten. Nach der Installation des Updates vom April 2025 wird der Kompatibilitätsmodus nicht mehr unterstützt.

Kompatibilitätsmodus wird abgeschaltet

Mit dem aktuellen Sicherheitsupdate werden verpflichtende Sicherheits­ein­stellungen eingeführt, die automatisch auf Domänencontrollern und Windows-Clients aktiviert werden. Der bisherige Kompatibilitätsmodus wird abge­schaltet, um kritische Sicherheitslücken zu schließen.

Konkret betreffen die Änderungen die Sicherheitslücken CVE-2024-26248 und CVE-2024-29056. Diese Schwachstellen betreffen das PAC (Privilege Attribute Certificate), welches für die Kerberos-Authentifizierung zentrale Benutzerberechtigungen verwaltet. Die neuen Einstellungen zielen darauf ab, die Systemsicherheit deutlich zu verbessern.

Es wird dann keine Möglichkeit mehr geben, zum alten Kompatibilitätsmodus zurückzukehren. Der Änderungsprozess begann im April 2024 mit der Einführung eines neuen Verhaltens, das beide Sicherheitsrisiken adressiert. Infografik Sicherheit im Netz: Deutsche fürchten sich vor Datenmissbrauch Um die Maßnahmen wirksam umzusetzen, ist es notwendig, sowohl Windows-Domänencontroller als auch Clients auf den neuesten Stand zu bringen. Microsoft hatte zudem beschlossen, alle betroffenen Systeme in einem dreistufigen Abschaltplan automatisch auf die neue Sicherheitskonfiguration umzustellen.

Hintergründe zur Kerberos-Authentifizierung

Kerberos ist ein weit verbreitetes Netzwerk-Authentifizierungsprotokoll, das seit den 1980er Jahren entwickelt wurde. Es wurde ursprünglich am Massachusetts Institute of Technology (MIT) entworfen. Der Name "Kerberos" stammt aus der griechischen Mythologie und bezieht sich auf den dreiköpfigen Höllenhund, der den Eingang zur Unterwelt bewacht - eine Anspielung auf die drei Parteien, die an der Kerberos-Authentifizierung beteiligt sind: Client, Server und Key Distribution Center (KDC).

Wie bereitet ihr euch auf diese Änderungen vor? Seht ihr Heraus­forderungen für eure IT-Umgebung? Teilt eure Gedanken und Erfahrungen in den Kommentaren - eure Einblicke könnten anderen Administratoren helfen!


Siehe auch: