Erreur RDP : CredSSP Encryption Oracle Remediation, que faire ?

I. Présentation

Suite à la sortie du Patch Tuesday de ce mois de mai, dans lequel Microsoft a inclus une quantité importante de correctif de sécurité, vous pourriez avoir une mauvaise surprise en vous connectant sur certains serveurs.

Afin de corriger une faille de sécurité, Microsoft a changé le processus d'authentification client/serveur lors d'une connexion RDP. En mars dernier, Microsoft a publié un correctif pour les OS Serveurs, puis ce mois-ci un patch équivalent pour les OS clients.

L'idée était de vous laisser le temps de patcher vos serveurs en attendant que le correctif arrive sur vos postes, car si le PC est patché mais pas le serveur alors vous ne pouvez plus vous connecter en RDP !

Vous obtenez ce fameux message : "Le problème peut être dû à une correction de l'oracle de chiffrement CredSSP".

II. Que faire face à cette erreur CredSSP ?

Il y a plusieurs scénarios possibles pour que vous puissiez vous connecter à votre serveur :

• Le client et le serveur sont patchés, dans ce cas ça fonctionne
• Le serveur est patché, mais pas le poste client, ça fonctionne également
• ....Mais aussi si aucun des deux n'est patché, ça fonctionne bien entendu

Il est fortement recommandé de choisir la première solution est de patcher vos serveurs et vos postes de travail.

• Configuration du client RDP

Sinon, bien que ce soit déconseillé, vous pouvez désactiver l'option "N'autoriser que la connexion des ordinateurs exécutant le Bureau à distance avec authentification NLA (recommandé)" sur votre serveur. Ensuite, ça fonctionnera mais ça ne doit être qu'une éventuelle solution de secours en attendant d'installer le patch !

• Correctif par GPO

Avec les fichiers ADMX de Windows 10 (1803 - April Update), il y a un nouveau paramètre qui concerne justement cette vulnérabilité. Voici ce qu'il faut configurer :

"Computer Configuration > Administrative Templates > System > Credentials Delegation" et activez le paramètre "Encryption Oracle Remediation" en choisissant ensuite la valeur "Vulnerable".

Là encore, ce n'est pas recommandé.

III. Ressources

Voici quelques liens utiles sur les KB :

- Windows Server 2012 : KB4088880
- Windows Server 2012 R2 : KB4088876
- Windows Server 2016 : KB4088787
- Windows 7 (Service Pack 1) : KB4103718
- Windows 8.1 : KB4103725
- Windows 10 (1607) : KB4103723
- Windows 10 (1703) : KB4103731
- Windows 10 (1709) : KB4103727
- Windows 10 (1803) : KB4103721

Florian BURNEL Co-founder of IT-Connect

Ingénieur système et réseau, cofondateur d'IT-Connect et Microsoft MVP "Cloud and Datacenter Management". Je souhaite partager mon expérience et mes découvertes au travers de mes articles. Généraliste avec une attirance particulière pour les solutions Microsoft et le scripting. Bonne lecture.

See Full Bio