![](\"https:\/\/borncity.com\/blog\/wp-content\/uploads\/2013\/03\/winb.jpg\")
[English]Seit dem Microsoft die Mai 2018-Updates f\u00fcr Windows freigegeben hat, mehren sich die Berichte, dass Nutzer Probleme mit Remote Desktop- oder VPN-Verbindungen haben. Es kommt zu einem CredSSP-Authentifizierungsfehler. Das ist by Design, hier ein paar Informationen.<\/p>\n
<\/p>\n
Administratoren in Firmenumgebungen, die die Mai 2018-Updates unter Windows installieren, stellen pl\u00f6tzlich fest, dass keine RDP-Verbindungen mehr m\u00f6glich sind. Windows bringt stattdessen einen Fehlerdialog.<\/p>\n
![\"RDP](\"https:\/\/i.imgur.com\/WSPQQNG.jpg\" "\\"RDP")
<\/p>\n
Der betreffende Fehlertext lautet in englischer Sprache:<\/p>\n
An authentication error has occurred.
\nThe function requested is not supported<\/p>\nRemote computer: <computer name>
\nThis could be due to CredSSP encryption oracle remediation.
\nFor more information, see https:\/go.microsoft.com\/fwlink\/?linkid=866660<\/a><\/p><\/blockquote>\nEs ist bei der Authentifizierung ein Fehler aufgetreten, die geforderte Funktion wird nicht unterst\u00fctzt. Hier im Blog findet sich z.B. dieser Kommentar<\/a> zum Thema. Ich habe aber weitere Forenpostings zu diesem Thema gesehen. Bei Technet gibt es z.B. diesen Thread. Und hier<\/a> hat sogar jemand einen Blog-Beitrag zum Thema ver\u00f6ffentlicht.<\/p>\n
Die Sicherheitsl\u00fccke CVE-2018-0886<\/h2>\n
Der technische Hintergrund ist, dass in den Remote Desktop Protokollen (RDP) von Windows eine kritische Sicherheitsl\u00fccke entdeckt wurde, die alle Windows-Versionen betrifft. Die Sicherheitsl\u00fccke CVE-2018-0886<\/a> erm\u00f6glicht Remote-Angreifern, RDP- und WinRM-Verbindungen zum Stehlen von Daten oder zum Ausf\u00fchren von Malware zu nutzen. Konkret steckt die kritische Sicherheitsl\u00fccke Credential Security Support Provider-Protokoll (CredSSP), das in allen bisherigen Versionen von Windows verwendet wird.<\/p>\n
Das CredSSP-Protokoll wurde f\u00fcr die Verwendung durch RDP (Remote Desktop Protocol) und Windows Remote Management (WinRM) entwickelt. Das Protokoll \u00fcbernimmt die sichere Weiterleitung der vom Windows-Client verschl\u00fcsselten Anmeldeinformationen an die Zielserver zur Remote-Authentifizierung. Ich hatte Mitte M\u00e4rz 2018 im Blog-Beitrag CredSSP-Sicherheitsl\u00fccke in RDP unter Windows<\/a> \u00fcber dieses Problem berichtet.<\/p>\n
Das Problem war lange angek\u00fcndigt<\/h2>\n
Microsoft hat diese Sicherheitsl\u00fccke im M\u00e4rz 2018 mit Updates geschlossen und noch weitergehende Ma\u00dfnahmen verk\u00fcndet. Ende M\u00e4rz 2018 kam der Hinweis, dass mit dem Mai 2018-Update RDP-Anfragen von ungepatchten Clients blocken werden sollen. Administratoren mussten also reagieren.<\/p>\n
<\/h2>\n
Microsoft-Empfehlungen<\/h3>\n
Im Microsoft KB-Artikel 4093492<\/a> findet sich nicht nur die Erkl\u00e4rung zur Sicherheitsl\u00fccke im Credential Security Support Provider Protocol (CredSSP). Microsoft empfahl Administratoren bereits im M\u00e4rz 2018 dringend, das Update auf Servern und Clients durchg\u00e4ngig zu installieren.<\/p>\n
Weiterhin sind die Gruppenrichtlinien so anzupassen, dass die Einstellungen \"Force Updates Clients\" und \"Mitigated\" sowohl auf dem Server als auch auf den Clients sobald wie m\u00f6glich aktiviert werden. Dies soll die Server gegen unsichere (ungepatchte) Clients absichern. Das Ganze ist im Blog-Beitrag Microsoft blockt bald RDP-Anfragen von Clients<\/a> ausf\u00fchrlicher angesprochen worden.<\/p>\n
Die Mai 2018-Updates riegeln ungepatchte Clients ab<\/h2>\n
In obigem Blog-Beitrag hatte ich auch den 8. Mai 2018 genannt. Zu diesem Datum hatte Microsoft geplant, ein Update auszurollen, um die Standardeinstellung von Vulnerable (verwundbar) auf Mitigated (abgesichert) zu \u00e4ndern. Ab Installation dieses Updates sind dann keine RDP-Verbindungen von ungepatchten Clients mehr m\u00f6glich.<\/p>\n
In den KB-Artikeln zu den Sicherheitsupdates Mai 2018 f\u00fcr Windows 7 bis Windows 10 finden sich in der Liste der Fixes (siehe Linkliste am Artikelende) immer folgender Hinweis:<\/p>\n
Addresses an issue that may cause an error when connecting to a Remote Desktop server. For more information, see CredSSP updates for CVE-2018-0886<\/a>.<\/p><\/blockquote>\n
Der verlinkte Artikel enth\u00e4lt Hinweise, wie Gruppenrichtlinien anzupassen sind, um RDP-Verbindungen zuzulassen.<\/p>\n
Was kann ich tun?<\/h2>\n
Wer von dem Problem der geblockten RDP-Verbindungen betroffen ist, k\u00f6nnte die Sicherheitsupdates vom Mai 2018 deinstallieren. Das ist aber keine gute Idee.<\/p>\n
Administratoren sollten vielmehr sicherstellen, dass sowohl die Clients als auch die Server mit den M\u00e4rz 2018 Sicherheitsupdates versehen sind. Bei Windows 10 sollten kumulative Updates reichen \u2013 bei Windows 7\/8.1 und den Server-Pendants m\u00fcsste das Security Only-Rollup vom Mai 2018 die notwendigen Updates ebenfalls bereitstellen \u2013 andernfalls die M\u00e4rz 2018-Updates nachholen. F\u00fcr Windows 8.1 \/ Windows Server 2012 R2 ist dies zum Beispiel KB4103725<\/a>.<\/p>\n
Wer diese Updates, auf Grund von Problemen, noch nicht installieren kann, muss sich vor\u00fcbergehend mit Workarounds behelfen.<\/p>\n
\n
- In diesem Blog-Beitrag<\/a> findet sich der Hinweis, die RDP-Option 'Allow connections only from computers running Remote Desktop with Network Level Authentication (recommended)' (Verbindungen nur von Computern zulassen, auf denen Remotedesktop mit Authentifizierung auf Netzwerkebene ausgef\u00fchrt wird) abzuw\u00e4hlen.<\/li>\n
- In diesem superuser.com-Forenthread<\/a> finden sich weitere Hinweise, wie man per Gruppenrichtlinien oder Registrierungseintrag die RDP-Verbindungen wieder tempor\u00e4r zulassen kann (reduziert aber die Sicherheit).<\/li>\n<\/ul>\n
Mit den Hinweisen sollten sich RDP-Verbindungen wieder herstellen lassen. Ich hoffe, jetzt nichts \u00fcbersehen zu haben (ich nutze weder RDP noch VPN). Ihr k\u00f6nnte ja ggf. einen Kommentar hinterlassen.<\/p>\n
Probleme mit VPN-Verbindungen<\/h2>\n
Ich habe auch Forenbeitr\u00e4ge gesehen, wo es Probleme mit VPN-Verbindungen gab. In diesem Blog-Beitrag<\/a> wird die Beobachtung geschildert, dass VPN-Verbindungen Probleme bereiten, wenn die h\u00f6here Sicherheitstufe bei Remoteverbindungen gesetzt ist. Microsoft erw\u00e4hnt in seinen KB-Artikeln, dass manche VPN-Clients mit veralteten SDKs entwickelt wurden (siehe hier<\/a>). Hier sollte gekl\u00e4rt werden, ob es Updates von Seiten der VPN-Client-Entwickler gibt. Weitere Hinweise zu VPN-Einstellungen gibt es auch in diesem tecchannel-Beitrag<\/a>.<\/p>\n
\u00c4hnliche Artikel:<\/strong>
\nAchtung bei Linux-RDP-Verbindungen und CredSSP-Updates<\/a>
\nMicrosoft blockt bald RDP-Anfragen von Clients<\/a>
\nCredSSP-Sicherheitsl\u00fccke in RDP unter Windows<\/a>
\nPatchday: Updates f\u00fcr Windows 7\/8.1\/Server Mai 2018<\/a>
\nPatchday: Windows 10-Updates 8. Mai 2018<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"[English]Seit dem Microsoft die Mai 2018-Updates f\u00fcr Windows freigegeben hat, mehren sich die Berichte, dass Nutzer Probleme mit Remote Desktop- oder VPN-Verbindungen haben. Es kommt zu einem CredSSP-Authentifizierungsfehler. Das ist by Design, hier ein paar Informationen.<\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[11,185,301],"tags":[6939,154,3205,4315,4321,3288],"class_list":["post-204197","post","type-post","status-publish","format-standard","hentry","category-problemlosung","category-update","category-windows","tag-credssp","tag-probleme","tag-rdp","tag-update","tag-vpn","tag-windows-en"],"_links":{"self":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/204197","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/comments?post=204197"}],"version-history":[{"count":0,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/204197\/revisions"}],"wp:attachment":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/media?parent=204197"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/categories?post=204197"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/tags?post=204197"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}