Архитектура уязвимости CredSSP и симптомы блокировки

При попытке подключения к серверу или рабочей станции по удаленному рабочему столу (RDP) возникает всплывающее окно с ошибкой: «Произошла ошибка проверки подлинности... Это может быть связано с исправлением шифрования CredSSP (This could be due to CredSSP encryption oracle remediation)». Подключение мгновенно прерывается, окно ввода пароля не появляется.

Суть конфликта (CVE-2018-0886)

В мае 2018 года Microsoft выпустила патч, закрывающий критическую уязвимость в протоколе Credential Security Support Provider (CredSSP), которая позволяла хакерам выполнять атаки Man-in-the-Middle (MITM) и перехватывать RDP-сессии. Конфликт возникает, когда ваш клиентский ПК УЖЕ получил этот патч безопасности (и требует защищенного соединения), а удаленный Сервер ЕЩЕ НЕ обновлен. Безопасный ПК отказывается подключаться к уязвимому серверу.

Пошаговое дерево решений (Патчинг и Обход)

Сценарий 1: Правильный (Обновление целевого сервера)

Единственное архитектурно верное решение — установить последние накопительные обновления (Cumulative Updates) на целевой сервер (к которому вы пытаетесь подключиться). Как только сервер получит патч (CVE-2018-0886), он начнет поддерживать защищенный протокол CredSSP, и ошибка исчезнет навсегда.

Сценарий 2: Обходной путь (Правка реестра на локальном ПК)

Если целевой сервер обновить нельзя (например, это старый Server 2008 без лицензий ESU, или у вас нет к нему физического доступа), вам придется разрешить уязвимое подключение (понизить безопасность) на вашем собственном ПК (клиенте).

1. На ВАШЕМ ЛОКАЛЬНОМ ПК (с которого вы звоните) нажмите Win+R -> regedit.
2. Перейдите в ветку: HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\System\CredSSP\Parameters (Если папок CredSSP и Parameters нет — создайте их).
3. Создайте параметр DWORD (32-бита) с именем AllowEncryptionOracle.
4. Установите значение 2 (Означает Vulnerable / Уязвимый).
5. Закройте реестр и подключайтесь по RDP (перезагрузка ПК не требуется).

Сценарий 3: Настройка через групповую политику (GPO)

Если вы администратор домена и хотите массово разрешить подключение к старым серверам для ИТ-отдела:

1. Откройте gpedit.msc (или доменную GPO).
2. Перейдите: Конфигурация компьютера -> Адм. шаблоны -> Система -> Передача учетных данных.
3. Найдите политику Исправление уязвимости шифрующего оракула CredSSP (Encryption Oracle Remediation).
4. Включите её и выберите уровень защиты Оставить уязвимым (Vulnerable).
5. Выполните gpupdate /force.

Типовые ошибки администраторов

• Правка реестра на сервере: Ошибка возникает из-за того, что ваш клиент (ПК) отказывается идти на сервер. Править реестр или GPO нужно НА КЛИЕНТЕ, а не пытаться делать это на самом удаленном сервере.