Jūlija Windows atjauninājums noņem RC4 audita režīmu — Kerberos domēnos paliek tikai AES

Windows domēnos pienāk brīdis, uz kuru Microsoft administratorus gatavo kopš janvāra. 14. jūlijā, mēneša otrajā otrdienā, iznāk jūlija drošības atjauninājums, kas noslēdz Kerberos RC4 pakāpenisko atslēgšanu. Pēc tā domēna kontrolleros paliek tikai piespiedu režīms: audita režīms pazūd, un reģistra atslēga RC4DefaultDisablementPhase, ar kuru līdz šim varēja atlikt pārmaiņas, vairs netiek ņemta vērā.

Praksē tas nozīmē, ka konts, kurš prasa RC4 šifrētu Kerberos biļeti un kuram nav skaidri norādīts citādi, autentifikācijā saņems kļūdu. Ja iepriekšējās fāzēs kaut kas jau lūza un to apgāja ar reģistra atslēgu, tagad tas vairs nepalīdzēs.

Kāpēc RC4 vispār atslēdz

Iemesls ir CVE-2026-20833 — informācijas atklāšanas ievainojamība Kerberos atslēgu izsniegšanas centrā (KDC). RC4-HMAC šifrētu servisa biļeti uzbrucējs var pieprasīt un lauzt bezsaistē, atgūstot servisa konta paroli. Tā ir klasiskā Kerberoasting shēma, un tā strādā tāpēc, ka RC4 biļetes atslēga nāk tieši no konta paroles NT jaucējkoda bez sāls un bez iterācijām. AES biļetēm tas nestrādā: to atslēga iet caur atvasināšanu ar konta sāli, tāpēc bezsaistes minēšana kļūst nepraktiska.

Uzbrukumu vērtīgu padara tas, ka jebkurš domēna lietotājs var pieprasīt servisa biļeti jebkuram kontam ar SPN, un pieprasījums pats par sevi neizskatās aizdomīgs. Ja mērķis ir konts ar plašām tiesībām un vāju paroli, uzlaušana bezsaistē var aizņemt stundas. Tieši tāpēc Microsoft janvāra atjauninājumā pārtrauca uzskatīt RC4 par pašsaprotamu atkāpšanās variantu.

RC4-HMAC Windows Kerberosā ir šifrēšanas tips 23, biļetēs redzams kā 0x17. AES256 ir tips 18, AES128 — tips 17. Šos numurus jūs ieraudzīsiet biļešu notikumos, kad ķersieties pie inventarizācijas.

Trīs fāzes gada garumā

Microsoft izmaiņas sadalīja trīs daļās, katru piesienot noteiktam atjauninājumam:

• 13. janvāris — audita fāze. Domēna kontrolleri sāka reģistrēt KDCSVC notikumus par RC4 lietojumu. RC4DefaultDisablementPhase pēc noklusējuma bija 1, tas ir, tikai brīdinājumi.
• 14. aprīlis — noklusējums mainījās. KDC katram kontam bez skaidra msDS-SupportedEncryptionTypes ieraksta sāka pieņemt tikai AES-SHA1 (DefaultDomainSupportedEncTypes = 0x18). Konti, kas paļāvās uz automātisku atkāpšanos pie RC4, sāka lūzt, ja vien tos neizlaboja vai skaidri neatļāva RC4.
• Jūlijs — pēdējā fāze. Audita režīms un atslēga RC4DefaultDisablementPhase tiek noņemta, atgriezties nav kur.

Šī vieta ir svarīga tiem, kas aprīļa izmaiņas pārcieta ar reģistra atslēgu, nevis ar reālu labojumu. Tāda atkāpe tagad beidzas.

Kā atrast, kas vēl lieto RC4

Inventarizācija balstās uz notikumu žurnālu domēna kontrolleros. Sistēmas žurnālā parādās KDCSVC notikumi ar ID no 201 līdz 209; to nozīmi Microsoft izklāsta RC4 pārvaldības rokasgrāmatā. Notikumi 201, 202 un 205–207 ir brīdinājumi audita režīmā; 203, 204, 208 un 209 ir kļūdas, kas nozīmē, ka piespiedu režīmā biļete tiktu atteikta. Ja pēc janvāra atjauninājuma šie kļūdu notikumi nekad neparādījās, tas ir labs signāls, bet ne garantija.

Audita notikumu neesamība negarantē, ka visas ne-Windows ierīces pēc atjauninājuma pieņems Kerberos autentifikāciju, brīdina Microsoft.

Papildus derīgi paskatīties drošības žurnāla notikumus 4768 un 4769 — tie rāda izsniegtās TGT un servisa biļetes kopā ar šifrēšanas tipu. Ieraksts ar 0x17 nozīmē RC4, un tieši šie konti jāsakārto pirmie.

Kļūme pēc atjauninājuma izskatās kā parasta pieteikšanās neveiksme: lietotājs vai serviss saņem paziņojumu, ka autentifikācija neizdodas, bez skaidra iemesla. Tāpēc pirms plaša izplatīšanas ir vērts atjauninājumu vispirms uzlikt vienam domēna kontrollerim un vienam testa servisam, nevis visai videi uzreiz.

Ko izdarīt pirms instalēšanas

Sagatavošanās sadalās dažos konkrētos soļos:

1. Pārliecinieties, ka domēna kontrolleros jau ir janvāra vai jaunāks atjauninājums un ka notikumi 201–209 ir apkopoti no visiem KDC.
2. Katram servisa kontam, ko rāda RC4 notikumi, iestatiet msDS-SupportedEncryptionTypes uz AES un pēc tam nomainiet paroli, lai KDC izveido AES atslēgas. Bez paroles maiņas AES atslēgu vienkārši nebūs.
3. Pārrēķiniet krbtgt konta atslēgas, ja tas gadiem nav darīts. Vecas RC4 atslēgas šeit ir īpaši bīstamas, jo ar tām var viltot biļetes.
4. Atsevišķi pārbaudiet iekārtas un lietotnes, kas nerunā Windows Kerberos valodā: Linux servisi, Java lietojumi ar vecu krb5.conf, tīkla iekārtas un NAS. Tur RC4 mēdz būt iekodēts konfigurācijā, un notikumu žurnāls to ne vienmēr pamana.

Ja kāds serviss tiešām vēl neprot AES un to nevar ātri nomainīt, RC4 var atļaut punktveidā, kontam iestatot msDS-SupportedEncryptionTypes vērtību, kas iekļauj RC4 — piemēram, 0x1C. Tā ir apzināta atkāpe konkrētam kontam, nevis visa domēna atslābināšana, un tā paliks redzama auditā.

Avoti

• Microsoft Support — How to manage Kerberos KDC usage of RC4 (CVE-2026-20833)
• Microsoft Community Hub — How to Manage RC4 Hardening: Definitive Guide
• Microsoft Community Hub — What Changed in RC4 with the January 2026 Windows Update
• Cayosoft — Kerberos RC4 Hardening: What CVE-2026-20833 Really Means
• M365 Admin — Final deployment phase for Kerberos RC4 hardening begins July 2026