こんにちは、プラットフォーム サポート チームの高田です。
2016 年 8 月 9 日にリリースされた、「MS16-101: Windows 認証のセキュリティ更新プログラム」を適用すると、下記のメッセージが表示されユーザー パスワードの変更が失敗する現象が生じる場合があります。いずれも、0x800704F1 (ERROR_DOWNGRADE_DETECTED) エラーに対応するメッセージです。
セキュリティに危害を与える試みが検出されました。認証したサーバーに連絡してください。
The system detected a possible attempt to compromise security. Please ensure that you can contact the server
that authenticated you.
また、以下のようなメッセージが表示されることもあります。
認証要求を処理するドメイン コントローラーにアクセスできません。しばらくしてから再実行してください。
The system cannot contact a domain controller to service the authentication request. Please try again later.
これは、下記英語版の技術情報に Known Issues として記載されている事象です。本事象はセキュリティ更新に伴う意図的な動作であり、レグレッションではありません。
MS16-101: Security update for Windows authentication methods: August 9, 2016
https://support.microsoft.com/en-us/kb/3178465
事象の概要
MS16-101 では、ページにも記載のとおり、パスワード変更時に Kerberos 認証から NTLM 認証にダウングレードしないよう動作変更されています。これは、パスワード変更処理において NTLM 認証へのフォールバックを悪用することでアカウントが攻撃対象となる問題が確認されたためです。ユーザー パスワードを変更する際、Kerberos 認証が用いられた場合は、kpasswd プロトコルを利用して (TCP 464 番ポート) 処理が試行されます。これに失敗すると、これまでは NTLM 認証に切り替わり処理が行われておりました。
MS16-101 が適用されると、kpasswd での処理に失敗した場合、NTLM に切り替わりません。パスワード変更の通信が行われず上記メッセージやエラーが生成されます。
例えば、以下のような処理や運用を行っている場合、MS16-101 をクライアント (パスワード変更の要求元) に適用すると、パスワード変更に失敗することが想定されます。
- クライアントからドメイン コントローラーへの TCP 464 番ポートでの通信をファイアーウォールなどでブロックしている
- WinNT プロバイダーを利用してスクリプトなどからパスワード変更処理をしている
- IP アドレスを利用して接続先ドメイン コントローラーを指定しパスワード変更処理をしている
対処策
お客様におかれましては、それぞれ以下のような対応をお願いできればと思います。
- クライアントからドメイン コントローラーへの TCP 464 番ポートの通信を許可する
- スクリプトをご利用の場合、LDAP プロバイダーや .NET Framework を利用した別の手法でパスワード変更処理を行う
- dc.example.local などサーバー名を指定してパスワード変更処理を行う
なお、無効化もしくはロックアウトされたユーザー アカウントでは、MS16-101 の有無に限らず Kerberos 認証を使用してパスワードを変更することは許容されていないため、NTLM 認証を用いて変更していることが想定されます。そのため、KB では MS16-101 の適用後にパスワードを変更できなくなることを報告しております。
また MS16-101 をクライアントやドメイン コントローラーに適用した場合でも、管理者が [Active Directory ユーザーとコンピューター] などの Active Directory のツールを使用して、無効化もしくはロックアウトされたユーザー アカウントに対してパスワードを設定することは可能です。MS16-101 は、パスワード変更処理 (Change Password) に影響を与え、パスワードのリセット処理 (Set Password) には影響を与えません。
本件については、今後も追加情報が得られ次第、随時更新してまいります。
変更履歴
- 2016 年 8 月 17 日: 本ブログ情報の公開
- 2016 年 8 月 29 日: パスワード変更に失敗するパターンや対処策について追記