Error de autenticación RDP: Remediación de Oracle de cifrado CredSSP

Después de instalar las actualizaciones de seguridad de Windows que se emitieron después de mayo de 2018, es posible que se encuentre con el error de corrección de oráculo de cifrado CredSSP durante la conexión RDP al servidor o computadora remota de Windows en los siguientes casos:

• Está intentando conectarse al escritorio remoto de una computadora con una versión antigua de Windows instalada recientemente (por ejemplo, Windows 10 RTM, o compilación 1709 o anterior, Windows Server 2012 R2, Windows Server 2016), en la que no están instaladas las últimas actualizaciones de seguridad de Windows;

• Está intentando conectarse a través de RDP a una computadora en la que las actualizaciones de Microsoft no se han instalado durante mucho tiempo;

• La computadora remota bloqueó la conexión RDP porque faltan las actualizaciones de seguridad necesarias en su computadora.

Intentemos entender qué significa el error de RDP Remediación del oráculo de cifrado CredSSP y cómo solucionarlo.

Entonces, al intentar conectarse a RemoteApp en servidores RDS que ejecutan Windows Server 2016/2012 R2/2008 R2, o a escritorios remotos de otros usuarios que usan el protocolo RDP (en Windows 10, 8.1 o 7), aparece un error:

Este error ocurre debido al hecho de que las actualizaciones de seguridad de Windows (al menos desde marzo de 2018) no se instalaron en la instancia remota de Windows, a la que intenta conectarse a través de RDP.

En marzo de 2018, Microsoft lanzó actualizaciones que bloquean la ejecución remota de código utilizando una vulnerabilidad en el protocolo CredSSP (Credential Security Support Provider) (boletín CVE-2018-0886). En mayo de 2018, se publicó una actualización adicional que, de forma predeterminada, impide que los clientes de Windows se conecten a servidores RDP remotos con una versión vulnerable (sin parches) del protocolo CredSSP.

Por lo tanto, si no ha instalado actualizaciones de seguridad acumulativas en sus servidores Windows RDS/RDP (computadoras) desde marzo de 2018, y se instalaron actualizaciones de mayo de 2018 (o más recientes) en clientes RDP, cuando intente conectarse a servidores RDS con una versión sin parches de CredSSP, aparecerá un error: Esto podría deberse a la remediación de Oracle de cifrado CredSSP.

El error de RDP en los clientes aparece después de instalar las siguientes actualizaciones de seguridad:

• Windows 7/Servidor de Windows 2008 R2 — KB4103718

• Windows 8.1/Servidor de Windows 2012 R2: KB4103725

• Windows Server 2016 — KB4103723

• Windows 10 1803 — KB4103721

• Windows 10 1709 — KB4103727

• Windows 10 1703 — KB4103731

• Windows 10 1609 — KB4103723

windows 10 1803 x64 8/*/2019

Para restaurar la conexión del escritorio remoto, puede desinstalar la actualización de seguridad especificada en la computadora remota (pero no se recomienda y no debe hacer esto, hay una solución más segura y correcta).

Para solucionar el problema de conexión, debe deshabilitar temporalmente la verificación de versión de CredSSP en la computadora desde la que se está conectando a través de RDP. Esto se puede hacer usando el editor de políticas de grupo local.

1. Ejecute el editor de GPO local: gpedit.msc;

2. Vaya a la sección GPO Configuración del equipo -> Plantillas administrativas -> Sistema -> Delegación de credenciales;
   

   

3. Localice la política con el nombre Encryption Oracle Remediation, habilite la política y establezca el nivel de Protección en Vulnerable;

   

4. Actualice la configuración de la política en la computadora (ejecute

   gpupdate /force

   comando) e intente conectarse al servidor remoto a través de RDP. Con la política de Oracle Remediation Encryption establecida en Vulnerable, las aplicaciones cliente con compatibilidad con CredSSP podrán conectarse incluso a puntos finales RDS/RDP sin parches.

Si no tiene un editor de GPO local (por ejemplo, en las ediciones de Windows Home), puede realizar un cambio de registro directamente que permita la conexión RDP a servidores con una versión sin parches de CredSSP:

REG ADD HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\CredSSP\Parameters /v AllowEncryptionOracle /t REG_DWORD /d 2

Puede cambiar el parámetro de registro AllowEncryptionOracle en varias computadoras en AD usando un GPO de dominio o con un script de PowerShell de este tipo (puede obtener una lista de computadoras en el dominio usando el cmdlet Get-ADComputer del módulo RSAT-AD-PowerShell):

$computers = (Get-ADComputer -Filter *).DNSHostName
Foreach ($computer in $computers) {
Invoke-Command -ComputerName $computer -ScriptBlock {
REG ADD HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\CredSSP\Parameters /v AllowEncryptionOracle /t REG_DWORD /d 2
}
}

Después de conectarse con éxito a un servidor RDP remoto (computadora), debe instalar las últimas actualizaciones de seguridad a través de Windows Update (verifique que el servicio wuauserv esté habilitado) o manualmente. Descargue e instale las últimas actualizaciones acumulativas de Windows desde el sitio web del Catálogo de actualizaciones de Microsoft como se muestra arriba. Si aparece el error "La actualización no es aplicable a su computadora" al instalar la actualización de MSU, lea el artículo usando el enlace de arriba.

Después de instalar las actualizaciones y reiniciar el servidor, no olvide deshabilitar la política en los clientes (ya sea cámbiela a Forzar actualización de clientes) o devuelva el valor del parámetro de registro AllowEncryptionOracle a 0. En este caso, su computadora no correrá el riesgo de conectarse a hosts desprotegidos de CredSSP y explotar la vulnerabilidad.

REG ADD HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\CredSSP\Parameters /v AllowEncryptionOracle /t REG_DWORD /d 0

Hay otro escenario en el que las actualizaciones no están instaladas en su computadora. Por ejemplo, el servidor RDP está actualizado, pero tiene una política que bloquea las conexiones RDP de equipos con la versión vulnerable de CredSSP (configuración de política Forzar actualización de clientes). En este caso, también verá el error de conexión RDP "Esto podría deberse a la remediación del oráculo de cifrado CredSSP".

Verifique la última fecha de instalación de las actualizaciones de Windows en su computadora usando el módulo PSWindowsUpdate o mediante el comando WMI en la consola de PowerShell:

gwmi win32_quickfixengineering |sort installedon -desc