Konfigurieren der Datenschutzeinstellung auf RPC-Paketebene für eingehende Verbindungen

seit 0.9.8.11

Zweck

Registry-Schlüssel anzeigen (1)

HKLM\SYSTEM\CurrentControlSet\Control\Print\RpcAuthnLevelPrivacyEnabled

Der Registry-Wert RpcAuthnLevelPrivacyEnabled steuert serverseitig den RPC-Schutz für eingehende Verbindungen zur Druckerschnittstelle IRemoteWinspool. Der Datentyp ist REG_DWORD. Der Wert 1 aktiviert den Erzwingungsmodus: Der Druckdienst akzeptiert für diese Schnittstelle nur Clients, die die erhöhte RPC-Authentifizierungsebene mit Datenschutz auf Paketebene verwenden.

Der dabei verwendete Schutzgrad RPC_C_AUTHN_LEVEL_PKT_PRIVACY authentifiziert die Kommunikation und schützt die übertragenen RPC-Daten vor unbemerkter Veränderung und Offenlegung. Bei Remoteverbindungen werden die Argumente der einzelnen Remoteprozeduraufrufe verschlüsselt.

Die Einstellung gilt für die betreffende RPC-Schnittstelle des Druckdienstes. Sie stellt keine allgemeine Verschlüsselung sämtlicher Druckprotokolle, Druckdaten oder gespeicherter Druckaufträge bereit.

Hinweise

Weitere Wirkungen

Verbindungen, deren ausgehandelter RPC-Schutzgrad die geforderte Stufe nicht erreicht, werden vom Druckserver abgewiesen. Dadurch kann ein Client die geschützte IRemoteWinspool-Schnittstelle nicht mit einer schwächeren Authentifizierungsebene verwenden.

Sicherheit

Der Erzwingungsmodus ist Teil der Absicherung gegen CVE-2021-1678, eine Spoofing- beziehungsweise Sicherheitsumgehungsanfälligkeit bei der Authentifizierung von Drucker-RPC-Bindungen. Der höhere Schutzgrad erschwert das Abfangen oder Verändern der RPC-Kommunikation und verhindert Verbindungen mit einem unzureichenden RPC-Authentifizierungsniveau.

Der Wert gewährt keine zusätzlichen Benutzerrechte und verändert weder Dateisystemberechtigungen noch administrative Gruppenmitgliedschaften.

Mögliche Nebenwirkungen

Clients ohne das Windows-Sicherheitsupdate vom 12. Januar 2021 oder ein späteres Update unterstützen das geforderte Verhalten möglicherweise nicht. Verbindungen dieser Clients über IRemoteWinspool können deshalb fehlschlagen, sodass freigegebene Drucker nicht verwendbar sind.

Hinweise

Seit den Windows-Updates vom 14. September 2021 entspricht das Verhalten bei einem nicht vorhandenen Registry-Wert standardmäßig dem Wert 1. Auf entsprechend aktualisierten Systemen bestätigt ein explizit gesetzter Wert 1 daher den bereits geltenden Erzwingungsmodus.

Microsoft führt die zugehörige ADMX-gestützte Richtlinie für Windows 11 ab Version 24H2 als Computerrichtlinie. Die zugrunde liegende Absicherung und der Registry-Wert wurden bereits mit den Sicherheitsupdates zu CVE-2021-1678 für frühere Windows- und Windows-Server-Versionen eingeführt.

Eine Änderung des wirksamen Werts wird erst nach einem Neustart des Geräts oder des Druckwarteschlangendienstes übernommen.