মে ২০১৮ এর পর প্রকাশিত উইন্ডোজ সিকিউরিটি আপডেট ইনস্টল করার পর, আপনি RDP কানেকশনের সময় CredSSP encryption oracle remediation এরর সম্মুখীন হতে পারেন নিচের случаেগুলোরいずれকেউ ঘটলে:
- আপনি একটি পুরানো উইন্ডোজ সংস্করণ (উদাহরণস্বরূপ, উইন্ডোজ ১০ RTM, বা বিল্ড ১৭০৯ বা পুরানো, উইন্ডোজ সার্ভার ২০১২ R2, উইন্ডোজ সার্ভার ২০১৬) ইনস্টল করা রিমোট ডেস্কটপ কম্পিউটারের সাথে কানেক্ট করার চেষ্টা করছেন, যেখানে সর্বশেষ উইন্ডোজ সিকিউরিটি আপডেট ইনস্টল করা নেই;
- আপনি একটি কম্পিউটারের সাথে RDP経由で কানেক্ট করার চেষ্টা করছেন যেখানে অনেক দিন ধরে মাইক্রোসফট আপডেট ইনস্টল করা নেই;
- রিমোট কম্পিউটার RDP কানেকশন ব্লক করেছে কারণ আপনার কম্পিউটারে প্রয়োজনীয় সিকিউরিটি আপডেটগুলো অনুপস্থিত।
চলুন বুঝতে চেষ্টা করি RDP এরর CredSSP encryption oracle remediation এর অর্থ কী এবং কীভাবে এটি ফিক্স করা যায়।
তবে, RDS সার্ভারগুলো (উইন্ডোজ সার্ভার ২০১৬/২০১২ R2/২০০৮ R2) এ RemoteApp-এ বা অন্য ব্যবহারকারীদের রিমোট ডেস্কটপের সাথে RDP প্রোটোকল ব্যবহার করে (উইন্ডোজ ১০, ৮.১ বা ৭-এ) কানেক্ট করার চেষ্টা করলে, একটি এরর আসে:
Remote Desktop connection
An authentication error has occurred.
The function is not supported.
Remote Computer: hostname
This could be due to CredSSP encryption oracle remediation.
এই এররটি হয় কারণ রিমোট উইন্ডোজ ইনস্ট্যান্সে উইন্ডোজ সিকিউরিটি আপডেট (কমপক্ষে মার্চ ২০১৮ থেকে) ইনস্টল করা নেই, যেটির সাথে আপনি RDP経由で কানেক্ট করার চেষ্টা করছেন।
এই এররটি এইরকমও দেখাতে পারে: An authentication error has occurred. The function requested is not supported.
মার্চ ২০১৮-এ, মাইক্রোসফট আপডেট প্রকাশ করেছিল যা CredSSP (Credential Security Support Provider) প্রোটোকলের একটি ভালনারেবিলিটি ব্যবহার করে রিমোট কোড এক্সিকিউশন ব্লক করে (বুলেটিন CVE-2018-0886)। মে ২০১৮-এ, একটি অতিরিক্ত আপডেট প্রকাশ করা হয়েছিল, যা ডিফল্টভাবে উইন্ডোজ ক্লায়েন্টদের ব্লক করে যাতে তারা বালনারেবল (unpatched) সংস্করণের CredSSP প্রোটোকলের সাথে রিমোট RDP সার্ভারের সাথে কানেক্ট করতে না পারে।
সুতরাং, আপনি যদি আপনার উইন্ডোজ RDS/RDP সার্ভার (কম্পিউটার) গুলোর ওপর মার্চ ২০১৮ থেকে ক্যুমুলেটিভ সিকিউরিটি আপডেট ইনস্টল না করে থাকেন, এবং RDP ক্লায়েন্টগুলোর ওপর মে ২০১৮ আপডেট (বা তার পরে) ইনস্টল করা থাকে, তবে বালনারেবল সংস্করণের CredSSP থাকা RDS সার্ভারের সাথে কানেক্ট করার চেষ্টা করলে এরর আসে: This could be due to CredSSP encryption oracle remediation।
নিচের সিকিউরিটি আপডেট ইনস্টল হওয়ার পর ক্লায়েন্টগুলোর ওপর RDP এররটি দেখা দেয়:
- Windows 7 / Windows Server 2008 R2 — KB4103718
- Windows 8.1 / Windows Server 2012 R2 — KB4103725
- Windows Server 2016 — KB4103723
- Windows 10 1803 — KB4103721
- Windows 10 1709 — KB4103727
- Windows 10 1703 — KB4103731
- Windows 10 1609 — KB4103723
এই তালিকাটি মে ২০১৮-এর KB নম্বর দেখাচ্ছে; বর্তমানে আপনাকে আপনার উইন্ডোজ এডিশনের জন্য সর্বশেষ ক্যুমুলেটিভ আপডেট প্যাকেজ ডাউনলোড এবং ইনস্টল করতে হবে। আপনি মাইক্রোসফট সার্ভার থেকে Windows Update-এর মাধ্যমে, লোকাল WSUS সার্ভার থেকে, অথবা ম্যানুয়ালি হটফিক্স *.msu ফাইল Microsoft Update Catalog (https://www.catalog.update.microsoft.com/Home.aspx) থেকে ডাউনলোড করে সর্বশেষ সিকিউরিটি আপডেট পেতে পারেন। উদাহরণস্বরূপ, উইন্ডোজ ১০ ১৮০৩-এর জন্য আগস্ট ২০১৯ আপডেট সার্চ করতে, আপনাকে নিচের সার্চ কোয়েরি ব্যবহার করতে হবে: windows 10 1803 x64 8/*/2019। উইন্ডোজ ক্যুমুলেটিভ আপডেট ডাউনলোড এবং ইনস্টল করুন (আমার উদাহরণে, এটি "2019-08 Cumulative Update for Windows 10 Version 1803 for x64-based Systems (KB4512509)")।
রিমোট ডেস্কটপ কানেকশন পুনরুদ্ধার করতে, আপনি নির্দিষ্ট সিকিউরিটি আপডেটটি রিমোট কম্পিউটার থেকে আনইনস্টল করতে পারেন (কিন্তু এটি প্রস্তাবিত নয় এবং আপনাকে এটি করা উচিত নয়, একটি আরও সুরক্ষিত এবং সঠিক সমাধান আছে)।
কানেকশন সমস্যা সমাধান করতে, আপনাকে অস্থায়ীভাবে CredSSP সংস্করণ চেকটি অক্ষম করতে হবে সেই কম্পিউটারে যেখান থেকে আপনি RDP経由で কানেক্ট করছেন। এটি লোকাল গ্রুপ পলিসি এডিটর ব্যবহার করে করা যাবে।
- লোকাল GPO এডিটর চালু করুন: gpedit.msc;
- GPO বিভাগে যান Computer Configuration -> Administrative Templates -> System -> Credentials Delegation;
- Encryption Oracle Remediation নামের পলিসিটি খুঁজে বের করুন, এটি এনেবল করুন এবং Protection level কে Vulnerable সেট করুন;
- কম্পিউটারে পলিসি সেটিং আপডেট করুন (
gpupdate /forceকমান্ড চালান) এবং RDP経由で রিমোট সার্ভারের সাথে কানেক্ট করার চেষ্টা করুন। Oracle Remediation Encryption পলিসি Vulnerable সেট থাকলে, CredSSP সাপোর্টযুক্ত ক্লায়েন্ট অ্যাপ্লিকেশন unpatched RDS/RDP এন্ডপয়েন্টের সাথে কানেক্ট করতে পারবে।
Encryption Oracle Remediation পলিসি CredSSP ভালনারেবিলিটির বিরুদ্ধে সুরক্ষার জন্য ৩টি উপলব্ধ মান অফার করে:
- Force Updated Clients — সর্বোচ্চ সুরক্ষার লেভেল যখন RDP সার্ভার non-patched ক্লায়েন্টের কানেকশন ব্লক করে। সাধারণত, এই পলিসিটি সক্ষম করা উচিত আপনি পুরো ইনফ্রাস্ট্রাকচার আপডেট করে এবং সার্ভার ও ওয়ার্কস্টেশনের জন্য উইন্ডোজ ইনস্টল ইমেজে সর্বশেষ সিকিউরিটি আপডেট যোগ করার পর;
- Mitigated — এই মোডে, বালনারেবল সংস্করণের CredSSP থাকা RDP সার্ভারের সাথে আউটগোइং রিমোট RDP কানেকশন ব্লক করা হয়। তবে, CredSSP ব্যবহার করে অন্যান্য সার্ভিসগুলো ঠিকমতো কাজ করে;
- Vulnerable — সর্বনিম্ন সুরক্ষার লেভেল যখন বালনারেবল সংস্করণের CredSSP থাকা RDP সার্ভারের সাথে কানেক্ট করার অনুমতি দেওয়া হয়।
যদি আপনার কাছে লোকাল GPO এডিটর না থাকে (উদাহরণস্বরূপ, উইন্ডোজ Home এডিশনে), তবে আপনি সরাসরি রেজিস্ট্রি পরিবর্তন করে RDP কানেকশন অনুমতি দিতে পারেন unpatched সংস্করণের CredSSP থাকা সার্ভারগুলোর সাথে:
REG ADD HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\CredSSP\Parameters /v AllowEncryptionOracle /t REG_DWORD /d 2
আপনি ডোমেন GPO বা একটি PowerShell স্ক্রিপ্ট ব্যবহার করে AD-এ একাধিক কম্পিউটারের AllowEncryptionOracle রেজিস্ট্রি প্যারামিটার পরিবর্তন করতে পারেন (RSAT-AD-PowerShell মডিউল থেকে Get-ADComputer cmdlet ব্যবহার করে ডোমেনের কম্পিউটার তালিকা পেতে পারেন):
$computers = (Get-ADComputer -Filter *).DNSHostName
Foreach ($computer in $computers) {
Invoke-Command -ComputerName $computer -ScriptBlock {
REG ADD HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\CredSSP\Parameters /v AllowEncryptionOracle /t REG_DWORD /d 2
}
}
রিমোট RDP সার্ভার (কম্পিউটার) এর সাথে সফলভাবে কানেক্ট করার পর, আপনাকে Windows Update-এর মাধ্যমে সর্বশেষ সিকিউরিটি আপডেট ইনস্টল করতে হবে (যাচাই করুন যে wuauserv সার্ভিসটি এনেবল্ড) অথবা ম্যানুয়ালি। উপরের মতো Microsoft Update Catalog ওয়েবসাইট থেকে সর্বশেষ ক্যুমুলেটিভ উইন্ডোজ আপডেট ডাউনলোড এবং ইনস্টল করুন। যদি MSU আপডেট ইনস্টল করার সময় "The update is not applicable to your computer" এরর আসে, তবে উপরের লিংকের আর্টিকেলটি পড়ুন।
উইন্ডোজ XP/উইন্ডোজ সার্ভার ২০০৩ যা আর সাপোর্টেড নয়, তাদের জন্য Windows Embedded POSReady 2009-এর আপডেট ইনস্টল করতে হবে। উদাহরণস্বরূপ: https://support.microsoft.com/en-us/help/4056564।
আপডেট ইনস্টল এবং সার্ভার রিবুট করার পর, ক্লায়েন্টগুলোর ওপর পলিসি ডিসেবল করতে ভুলবেন না (এটিকে Force Updated Clients-এ সুইচ করুন), অথবা AllowEncryptionOracle রেজিস্ট্রি প্যারামিটারের মান ০-এ ফেরত দিন। এই ক্ষেত্রে, আপনার কম্পিউটার CredSSP unprotected হোস্টের সাথে কানেক্ট করার ঝুঁকি এবং ভালনারেবিলিটি এক্সপ্লয়িট হওয়ার ঝুঁকি থেকে মুক্ত থাকবে।
REG ADD HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\CredSSP\Parameters /v AllowEncryptionOracle /t REG_DWORD /d 0
একটি অন্য সিনেরিও আছে যেখানে আপডেট আপনার কম্পিউটারে ইনস্টল করা নেই। উদাহরণস্বরূপ, RDP সার্ভার আপডেটেড আছে, কিন্তু এর একটি পলিসি আছে যা বালনারেবল সংস্করণের CredSSP থাকা কম্পিউটার থেকে RDP কানেকশন ব্লক করে (Force Updated Clients পলিসি সেটিং)। এই ক্ষেত্রেও আপনি RDP কানেকশন এরর দেখবেন "This could be due to CredSSP encryption oracle remediation"।
আপনার কম্পিউটারের উইন্ডোজ আপডেটের শেষ ইনস্টল তারিখ চেক করুন PSWindowsUpdate মডিউল বা PowerShell কনসোলে WMI কমান্ড ব্যবহার করে:
gwmi win32_quickfixengineering |sort installedon -desc
এই উদাহরণে দেখা যাচ্ছে যে সর্বশেষ উইন্ডোজ সিকিউরিটি আপডেট ১৭ জুন, ২০১৮-এ ইনস্টল করা হয়েছে। আপনার উইন্ডোজ এডিশনের জন্য nieuwere MSU ক্যুমুলেটিভ আপডেট ফাইল ডাউনলোড এবং ইনস্টল করুন (উপরে দেখুন)।
