Technische naslaginformatie over cryptografische besturingselementen

Van toepassing op: Configuration Manager (current branch)

Configuration Manager gebruikt ondertekening en versleuteling om het beheer van de apparaten in de hiërarchie van de Configuration Manager te helpen beschermen. Bij ondertekening worden gegevens verwijderd die tijdens de overdracht zijn gewijzigd. Versleuteling helpt voorkomen dat een aanvaller de gegevens kan lezen met behulp van een netwerkprotocolanalyser.

Het primaire hashing-algoritme dat door Configuration Manager wordt gebruikt voor ondertekening is SHA-256. Wanneer twee Configuration Manager-sites met elkaar communiceren, ondertekenen ze hun communicatie met SHA-256.

Vanaf versie 2107 is AES-256 het primaire versleutelingsalgoritme dat door Configuration Manager wordt gebruikt. Versleuteling vindt voornamelijk plaats in de volgende twee gebieden:

• Als u het gebruik van versleuteling op de site inschakelt, versleutelt de client zijn inventarisgegevens en vermeldt hij berichten die naar het beheerpunt worden verzonden.

• Wanneer de client geheime beleidsregels downloadt, versleutelt het beheerpunt deze beleidsregels altijd. Bijvoorbeeld een taakreeks voor de implementatie van een besturingssysteem met wachtwoorden.

Wanneer u clientcommunicatie via HTTPS gebruikt, configureert u uw openbare-sleutelinfrastructuur (PKI) voor het gebruik van certificaten met de maximale hashing-algoritmen en sleutellengten. Bij gebruik van CNG v3-certificaten ondersteunen Configuration Manager-clients alleen certificaten die gebruikmaken van het cryptografische algoritme RSA. Zie Overzicht van PKI-certificaatvereisten en CNG v3-certificaten voor meer informatie.

Voor transportbeveiliging ondersteunt alles dat TLS gebruikt AES-256. Deze ondersteuning geldt ook wanneer u de site configureert voor uitgebreide HTTP (E-HTTP) of HTTPS. Voor on-premises sitesystemen kunt u de TLS-coderingssuites beheren. Als u TLS 1.2 inschakelt voor cloudfuncties, zoals de Cloud Management Gateway (CMG), worden de coderingssuites door Configuration Manager geconfigureerd.

Voor de meeste cryptografische bewerkingen met Windows-besturingssystemen gebruikt Configuration Manager deze algoritmen uit de Windows CryptoAPI-bibliotheek rsaenh.dll.

Zie Sitebewerkingen voor meer informatie over specifieke functionaliteit.

Siteactiviteiten

Informatie in Configuration Manager kan worden ondertekend en versleuteld. Het ondersteunt deze bewerkingen met of zonder PKI-certificaten.

Beleidsondertekening en versleuteling

De site ondertekent clientbeleidstoewijzingen met het zelfondertekende certificaat. Dit gedrag helpt voorkomen dat het beveiligingsrisico van een gekraakt beheerpunt gemanipuleerd beleid verzendt. Als u clientbeheer via internet gebruikt, is dit gedrag belangrijk, omdat hiervoor een internetgericht beheerpunt is vereist.

Wanneer het beleid gevoelige gegevens bevat, vanaf versie 2107, versleutelt het beheerpunt deze met AES-256. Beleid met gevoelige gegevens wordt alleen naar geautoriseerde clients verzonden. De site versleutelt geen beleid dat geen gevoelige gegevens bevat.

Wanneer een client beleid opslaat, wordt het beleid versleuteld met behulp van de Windows Data Protection Application Programming Interface (DPAPI).

Beleid hashen

Wanneer een client beleid aanvraagt, krijgt deze eerst een beleidstoewijzing. Dan weet het welk beleid op haar van toepassing is en kan het alleen die beleidsorganen opvragen. Elke beleidstoewijzing bevat de berekende hash voor de bijbehorende beleidsregel. De client downloadt de toepasselijke beleidsorganen en berekent vervolgens de hash voor elke beleidsinstelling. Als de hash op de beleidsinstantie niet overeenkomt met de hash in de beleidstoewijzing, verwijdert de client de beleidsregel.

Het hashing-algoritme voor beleid is SHA-256.

Inhoud hashen

De distributiebeheerservice op de siteserver hasht de inhoudsbestanden voor alle pakketten. De beleidsprovider neemt de hash op in het softwaredistributiebeleid. Wanneer de inhoud door de Configuration Manager-client wordt gedownload, wordt de hash lokaal opnieuw gegenereerd en vergeleken met de hash die in het beleid is opgegeven. Als de hashes overeenkomen, wordt de inhoud niet gewijzigd en wordt deze door de client geïnstalleerd. Als één byte van de inhoud wordt gewijzigd, komen de hashes niet overeen en installeert de client de software niet. Door deze controle te controleren of de juiste software is geïnstalleerd, omdat de werkelijke inhoud wordt vergeleken met het beleid.

Het standaard hashing-algoritme voor inhoud is SHA-256.

Niet alle apparaten ondersteunen inhoud-hashing. De uitzonderingen zijn:

• Windows-clients wanneer ze App-V-inhoud streamen.

Voorraadondertekening en versleuteling

Wanneer een klant hardware- of software-inventaris naar een beheerpunt verzendt, wordt de inventaris altijd ondertekend. Het maakt niet uit of de klant met het beheerpunt communiceert via E-HTTP of HTTPS. Als ze E-HTTP gebruiken, kunt u er ook voor kiezen om deze gegevens te versleutelen, wat wordt aanbevolen.

Versleuteling van statusmigratie

Wanneer in een taakreeks gegevens van een client worden vastgelegd voor implementatie van het besturingssysteem, worden de gegevens altijd versleuteld. In versie 2103 en hoger wordt de gebruikersreeks uitgevoerd door het hulpprogramma voor migratie van gebruikersstatus (USMT) met het AES-256-versleutelingsalgoritme .

Versleuteling voor multicast-pakketten

Voor elk besturingssysteemimplementatiepakket geldt dat u versleuteling kunt inschakelen wanneer u multicast gebruikt. Deze versleuteling maakt gebruik van het AES-256-algoritme . Als u versleuteling inschakelt, is er geen andere certificaatconfiguratie vereist. Het distributiepunt met multicast genereert automatisch symmetrische sleutels om het pakket te versleutelen. Elk pakket heeft een andere versleutelingssleutel. De sleutel wordt met behulp van standaard Windows-API's opgeslagen op het distributiepunt met multicast-functionaliteit.

Wanneer de client verbinding maakt met de multicastsessie, vindt de sleuteluitwisseling plaats via een versleuteld kanaal. Als de client HTTPS gebruikt, wordt het door PKI uitgegeven clientverificatiecertificaat gebruikt. Als de client E-HTTP gebruikt, wordt het zelfondertekende certificaat gebruikt. De client slaat de versleutelingssleutel alleen op in het geheugen tijdens de multicastsessie.

Versleuteling voor media voor besturingssysteemimplementatie

Wanneer u media gebruikt om besturingssystemen te implementeren, moet u altijd een wachtwoord opgeven om de media te beveiligen. Met een wachtwoord worden de omgevingsvariabelen van de takenreeks versleuteld met AES-128. Andere gegevens op de media, inclusief pakketten en inhoud voor toepassingen, worden niet versleuteld.

Versleuteling voor inhoud in de cloud

Wanneer u een CMG (Cloud Management Gateway) inschakelt om inhoud op te slaan, wordt de inhoud versleuteld met AES-256. De inhoud wordt versleuteld wanneer u deze bijwerkt. Wanneer clients de inhoud downloaden, wordt deze versleuteld en beschermd door de HTTPS-verbinding.

Software-updates voor aanmelden

Alle software-updates moeten zijn ondertekend door een vertrouwde uitgever om manipulatie te voorkomen. Op clientcomputers zoekt de Windows Update Agent (WUA) naar updates in de catalogus. De update wordt niet geïnstalleerd als het digitale certificaat niet kan worden gevonden in het archief van vertrouwde uitgevers op de lokale computer.

Wanneer u software-updates publiceert met System Center Updates Publisher, worden de software-updates ondertekend met een digitaal certificaat. U kunt een PKI-certificaat opgeven of Publisher voor Updates configureren om een zelfondertekend certificaat te genereren voor het ondertekenen van de software-update. Als u een zelfondertekend certificaat gebruikt om de updatecatalogus te publiceren, zoals WSUS Publishers Self-signed, moet het certificaat zich ook in het certificaatarchief van vertrouwde basiscertificeringsinstanties op de lokale computer bevinden. WUA controleert ook of de groepsbeleidsinstelling Ondertekende inhoud van intranet toestaan Microsoft Update-servicelocatie is ingeschakeld op de lokale computer. Deze beleidsinstelling moet zijn ingeschakeld zodat WUA wil zoeken naar de updates die zijn gemaakt en gepubliceerd met System Center Updates Publisher.

Ondertekende configuratiegegevens voor compliance-instellingen

Wanneer u configuratiegegevens importeert, controleert Configuration Manager de digitale handtekening van het bestand. Als de bestanden niet zijn ondertekend of als de handtekeningcontrole mislukt, waarschuwt de console je om door te gaan met de import. Importeer de configuratiegegevens alleen als u de uitgever en de integriteit van de bestanden expliciet vertrouwt.

Versleuteling en hashing voor clientmeldingen

Als u clientmelding gebruikt, maakt alle communicatie gebruik van TLS en de hoogste algoritmen waarover de server en client kunnen onderhandelen. Dezelfde onderhandeling vindt plaats voor het hashen van de pakketten die worden overgedragen tijdens clientmeldingen, die gebruikmaken van SHA-2.

Certificaten

Zie PKI-certificaatvereisten voor een lijst met PKI-certificaten (Public Key Infrastructure) die door Configuration Manager kunnen worden gebruikt, eventuele speciale vereisten of beperkingen en hoe de certificaten worden gebruikt. Deze lijst bevat de ondersteunde hash-algoritmen en sleutellengtes. De meeste certificaten ondersteunen SHA-256 en 2048-bits sleutellengte.

De meeste bewerkingen in Configuration Manager waarbij certificaten worden gebruikt, ondersteunen ook v3-certificaten. Zie overzicht CNG v3-certificaten voor meer informatie.

Configuration Manager vereist PKI-certificaten voor de volgende scenario's:

• Wanneer u Configuration Manager-clients op internet beheert

• Wanneer u een Cloud Management Gateway (CMG) gebruikt

Voor de meeste andere communicatie waarvoor certificaten voor authenticatie, ondertekening of versleuteling nodig zijn, gebruikt Configuration Manager automatisch PKI-certificaten, indien beschikbaar. Als deze niet beschikbaar zijn, genereert Configuration Manager zelfondertekende certificaten.

Mobile Device Management en PKI-certificaten

Implementatie van besturingssysteem en PKI-certificaten

Wanneer u Configuration Manager gebruikt om besturingssystemen te implementeren en voor een beheerpunt HTTPS-clientverbindingen zijn vereist, heeft de client een certificaat nodig om met het beheerpunt te kunnen communiceren. Deze vereiste geldt ook wanneer de client zich in een overgangsfase bevindt, zoals opstarten vanaf media voor de takenreeks of een distributiepunt met PXE. Maak ter ondersteuning van dit scenario een PKI-certificaat voor clientverificatie en exporteer dit met de persoonlijke sleutel. Importeer het bestand vervolgens in de eigenschappen van de siteserver en voeg ook het certificaat van de vertrouwde basiscertificeringsinstantie van het beheerpunt toe.

Als u opstartbare media maakt, importeert u het certificaat voor clientverificatie wanneer u de opstartbare media maakt. Ter bescherming van de persoonlijke sleutel en andere gevoelige gegevens die in de taakvolgorde zijn geconfigureerd, configureert u een wachtwoord op het opstartbare medium. Elke computer die vanaf de opstartbare media wordt opgestart, gebruikt hetzelfde certificaat met het beheerpunt dat vereist is voor clientfuncties zoals het aanvragen van clientbeleid.

Als u PXE gebruikt, importeert u het clientverificatiecertificaat in het voor PXE geschikte distributiepunt. Hetzelfde certificaat wordt gebruikt voor elke client die wordt opgestart vanaf dat PXE-distributiepunt. Als u de persoonlijke sleutel en andere gevoelige gegevens in de taakreeksen wilt beveiligen, is een wachtwoord voor PXE vereist.

Als een van deze clientverificatiecertificaten wordt gecompromitteerd, blokkeert u de certificaten in het knooppunt Certificaten in de beheerwerkruimte , Beveiligingsknooppunt . Als u deze certificaten wilt beheren, hebt u de machtiging Implementatiecertificaat besturingssysteem beheren nodig.

Nadat Configuration Manager het besturingssysteem heeft geïmplementeerd en de client heeft geïnstalleerd, heeft de client een eigen PKI-clientverificatiecertificaat nodig voor HTTPS-clientcommunicatie.

ISV-proxyoplossingen en PKI-certificaten

Onafhankelijke softwareleveranciers (ISV's) kunnen toepassingen maken die Configuration Manager uitbreiden. Een ISV kan bijvoorbeeld extensies maken ter ondersteuning van niet-Windows-clientplatforms. Als de sitesystemen echter HTTPS-clientverbindingen vereisen, moeten deze clients ook PKI-certificaten gebruiken voor de communicatie met de site. Configuration Manager biedt de mogelijkheid om een certificaat toe te wijzen aan de ISV-proxy voor communicatie tussen de ISV-proxyclients en het beheerpunt. Als u uitbreidingen gebruikt waarvoor ISV-proxycertificaten zijn vereist, raadpleegt u de documentatie bij dat product.

Als het ISV-certificaat is aangetast, blokkeert u het certificaat in het knooppunt Certificaten in de beheerwerkruimte , Beveiligingsknooppunt .

GUID voor ISV-proxycertificaat kopiëren

Om het beheer van deze ISV-proxycertificaten te vereenvoudigen, kunt u vanaf versie 2111 de GUID kopiëren in de Configuration Manager-console.

1. Ga in de console Configuration Manager naar de werkruimte Beheer.

2. Vouw Beveiliging uit en selecteer het knooppunt Certificaten .

3. Sorteer de lijst met certificaten op de kolom Type .

4. Selecteer een certificaat van het type ISV-proxy.

5. Selecteer Certificaat-GUID kopiëren op het lint.

Met deze actie wordt de GUID van dit certificaat gekopieerd, bijvoorbeeld: aa05bf38-5cd6-43ea-ac61-ab101f943987

Asset Intelligence en certificaten

Sinds november 2021 hebben we Asset Intelligence afgeschaft en we raden klanten aan deze rol te verwijderen.

Azure-services en -certificaten

Voor de Cloud Management Gateway (CMG) zijn serververificatiecertificaten vereist. Met deze certificaten kan de service HTTPS-communicatie aanbieden aan clients via internet. Zie CMG-serververificatiecertificaat voor meer informatie.

Voor clients is een ander type verificatie vereist om te kunnen communiceren met een CMG en het on-premises beheerpunt. Ze kunnen Microsoft Entra ID, een PKI-certificaat of een sitetoken gebruiken. Zie Clientverificatie configureren voor Cloud Management Gateway voor meer informatie.

Clients hebben geen client PKI-certificaat nodig om cloudopslag te gebruiken. Nadat ze zijn geverifieerd bij het beheerpunt, geeft het een Configuration Manager-toegangstoken uit aan de client. De client presenteert dit token aan de CMG om toegang te krijgen tot de inhoud. De token is acht uur geldig.

CRL-controle voor PKI-certificaten

Een PKI-certificaatintrekkingslijst (CRL) verhoogt de algehele beveiliging, maar vereist wel enige administratieve en verwerkingsoverhead. Als u CRL-controle inschakelt, maar clients geen toegang hebben tot de CRL, mislukt de PKI-verbinding.

In IIS is CRL-controle standaard ingeschakeld. Als u een CRL met uw PKI-implementatie gebruikt, hoeft u de meeste sitesystemen met IIS niet te configureren. De uitzondering geldt voor software-updates, waarvoor een handmatige stap nodig is om CRL-controle in te schakelen om de handtekeningen in software-updatebestanden te verifiëren.

Wanneer een client HTTPS gebruikt, wordt CRL-controle standaard ingeschakeld.

De volgende verbindingen bieden geen ondersteuning voor CRL-controle in Configuration Manager:

• Server-naar-server-verbindingen

Servercommunicatie

Configuration Manager gebruikt de volgende cryptografische besturingselementen voor servercommunicatie.

Servercommunicatie binnen een site

Elke sitesysteemserver gebruikt een certificaat om gegevens over te brengen naar andere sitesystemen in dezelfde Configuration Manager-site. Sommige sitesysteemrollen gebruiken ook certificaten voor authenticatie. Als u bijvoorbeeld het registratieproxypunt op de ene server installeert en het registratiepunt op een andere server, kunnen deze elkaar verifiëren met dit identiteitscertificaat.

Wanneer Configuration Manager een certificaat gebruikt voor deze communicatie en er een PKI-certificaat beschikbaar is met serververificatiemogelijkheid, gebruikt Configuration Manager dit automatisch. Als dat niet het geval is, genereert Configuration Manager een zelfondertekend certificaat. Dit zelfondertekende certificaat heeft serververificatiemogelijkheden, gebruikt SHA-256 en heeft een sleutellengte van 2048 bits. Configuration Manager kopieert het certificaat naar het archief met vertrouwde People op andere sitesysteemservers die het sitesysteem mogelijk moeten vertrouwen. Sitesystemen kunnen elkaar vervolgens vertrouwen door gebruik te maken van deze certificaten en PeerTrust.

Naast dit certificaat voor elke sitesysteemserver genereert Configuration Manager een zelfondertekend certificaat voor de meeste sitesysteemrollen. Wanneer er meer dan één exemplaar van de sitesysteemrol op dezelfde site aanwezig is, delen deze hetzelfde certificaat. U kunt bijvoorbeeld meerdere beheerpunten op dezelfde site hebben. Dit zelfondertekende certificaat gebruikt SHA-256 en heeft een sleutellengte van 2048 bits. Het wordt gekopieerd naar de Trusted People Store op systeemservers die het mogelijk moeten vertrouwen. De volgende sitesysteemrollen genereren dit certificaat:

• Synchronisatiepunt voor Asset Intelligence

• Eindpuntbeveiligingspunt

• Terugvalstatuspunt

• Beheerpunt

• Distributiepunt met multicast

• Reporting Services-punt

• Software-updatepunt

• Statusmigratiepunt

Configuration Manager genereert en beheert deze certificaten automatisch.

Om statusberichten van het distributiepunt naar het beheerpunt te verzenden, gebruikt Configuration Manager een certificaat voor clientverificatie. Als u het beheerpunt voor HTTPS configureert, is een PKI-certificaat vereist. Als het beheerpunt E-HTTP-verbindingen accepteert, kunt u een PKI-certificaat gebruiken. Het kan ook een zelfondertekend certificaat met clientverificatiemogelijkheid gebruiken, gebruikt SHA-256 en heeft een sleutellengte van 2048 bits.

Servercommunicatie tussen vestigingen

Met Configuration Manager worden gegevens tussen sites overgedragen met behulp van databasereplicatie en replicatie op basis van bestanden. Zie Gegevensoverdracht tussen sites en Communicatie tussen eindpunten voor meer informatie.

Configuration Manager configureert automatisch de databasereplicatie tussen sites. Indien beschikbaar, maakt het gebruik van PKI-certificaten met serververificatiemogelijkheid. Als deze niet beschikbaar zijn, maakt Configuration Manager zelfondertekende certificaten voor serververificatie. In beide gevallen worden meerdere sites geverifieerd met behulp van certificaten in het archief met vertrouwde People dat gebruikmaakt van PeerTrust. Dit certificaatarchief wordt gebruikt om ervoor te zorgen dat alleen de SQL-servers van de Configuration Manager-hiërarchie deelnemen aan site-naar-site-replicatie.

Siteservers brengen automatisch een site-naar-site-communicatie tot stand met behulp van een beveiligde sleuteluitwisseling. De server van de verzendende site genereert een hash en ondertekent deze met de bijbehorende persoonlijke sleutel. De server van de ontvangende site controleert de handtekening met behulp van de openbare sleutel en vergelijkt de hash met een lokaal gegenereerde waarde. Als ze overeenkomen, accepteert de ontvangende site de gerepliceerde gegevens. Als de waarden niet overeenkomen, worden de replicatiegegevens geweigerd door Configuration Manager.

Databasereplicatie in Configuration Manager gebruikt de SQL Server Service Broker om gegevens over te brengen tussen sites. De volgende mechanismen worden gebruikt:

• SQL Server naar SQL Server: deze verbinding maakt gebruik van Windows-referenties voor serververificatie en zelfondertekende certificaten met 1024 bits om de gegevens te ondertekenen en te versleutelen met het AES-algoritme. Indien beschikbaar, maakt het gebruik van PKI-certificaten met serververificatiemogelijkheid. Er worden alleen certificaten in het persoonlijke certificaatarchief van de computer gebruikt.

• SQL Service Broker: Deze service gebruikt zelfondertekende certificaten met 2048 bits voor verificatie en om de gegevens te ondertekenen en te versleutelen met het AES-algoritme. Er worden alleen certificaten in de hoofddatabase van SQL Server gebruikt.

Bij replicatie op basis van bestanden wordt het SMB-protocol (Server Message Block) gebruikt. Het gebruikt SHA-256 om gegevens te ondertekenen die niet zijn versleuteld en geen gevoelige gegevens bevatten. Als u deze gegevens wilt versleutelen, gebruikt u IPsec, dat u onafhankelijk van Configuration Manager implementeert.

Clients die HTTPS gebruiken

Als een sitesysteemrol clientverbindingen accepteert, kunt u deze zodanig configureren dat HTTPS- en HTTP-verbindingen worden geaccepteerd of alleen HTTPS-verbindingen. Sitesysteemrollen die verbindingen via internet accepteren, accepteren alleen clientverbindingen via HTTPS.

Clientverbindingen via HTTPS bieden een hoger beveiligingsniveau door integratie met een openbare-sleutelinfrastructuur (PKI) om de communicatie tussen clients en servers te helpen beschermen. Als u echter HTTPS-clientverbindingen configureert zonder een grondige kennis van PKI-planning, -implementatie en -bewerkingen, kunt u nog steeds kwetsbaar worden. Als u bijvoorbeeld uw basiscertificeringsinstantie (CA) niet beveiligt, kunnen aanvallers het vertrouwen van uw gehele PKI-infrastructuur in gevaar brengen. Als u de PKI-certificaten niet implementeert en beheert met behulp van gecontroleerde en beveiligde processen, kan dit leiden tot onbeheerde clients die geen essentiële software-updates of -pakketten kunnen ontvangen.

Niet-versleutelde communicatie wanneer clients HTTPS gebruiken

Wanneer clients via HTTPS met sitesystemen communiceren, is het meeste verkeer gecodeerd. In de volgende situaties communiceren klanten met sitesystemen zonder gebruik te maken van versleuteling:

• Client kan geen HTTPS-verbinding maken op het intranet en valt terug op het gebruik van HTTP wanneer deze configuratie is toegestaan voor de sitesystemen.

• Communicatie met de volgende rollen in het sitesysteem:

  • Client verzendt statusberichten naar het terugvalstatuspunt.

  • Client verzendt PXE-aanvragen naar een PXE-distributiepunt.

  • De client verzendt meldingsgegevens naar een beheerpunt.

U configureert Reporting Services-punten om HTTP of HTTPS onafhankelijk van de clientcommunicatiemodus te gebruiken.

Clients die gebruikmaken van E-HTTP

Wanneer clients gebruikmaken van E-HTTP-communicatie met sitesysteemrollen, kunnen ze PKI-certificaten gebruiken voor clientverificatie of zelfondertekende certificaten die door Configuration Manager worden gegenereerd. Wanneer Configuration Manager zelfondertekende certificaten genereert, hebben ze een aangepaste object-id voor ondertekening en versleuteling. Deze certificaten worden gebruikt om de klant op unieke wijze te identificeren. Deze zelfondertekende certificaten gebruiken SHA-256 en hebben een sleutellengte van 2048 bits.

Implementatie van besturingssysteem en zelfondertekende certificaten

Wanneer u Configuration Manager gebruikt om besturingssystemen met zelfondertekende certificaten te implementeren, moet de client ook over een certificaat beschikken om te kunnen communiceren met het beheerpunt. Deze vereiste geldt ook als de computer zich in een overgangsfase bevindt, zoals opstarten vanaf media voor een takenreeks of een distributiepunt met PXE. Ter ondersteuning van dit scenario voor E-HTTP-clientverbindingen genereert Configuration Manager zelfondertekende certificaten met een aangepaste object-id voor ondertekening en versleuteling. Deze certificaten worden gebruikt om de klant op unieke wijze te identificeren. Deze zelfondertekende certificaten gebruiken SHA-256 en hebben een sleutellengte van 2048 bits. Als deze zelfondertekende certificaten zijn gecompromitteerd, voorkom dan dat aanvallers ze gebruiken om vertrouwde clients te imiteren. Blokkeer de certificaten in het knooppunt Certificaten in de beheerwerkruimte , Beveiligingsknooppunt .

Client- en serververificatie

Wanneer clients verbinding maken via E-HTTP, verifiëren ze de beheerpunten met behulp van Active Directory Domain Services of met behulp van de vertrouwde basissleutel van Configuration Manager. Clients verifiëren geen andere sitesysteemrollen, zoals statusmigratiepunten of software-updatepunten.

Wanneer een beheerpunt een client voor het eerst authenticeert met behulp van het zelfondertekende clientcertificaat, biedt dit mechanisme minimale beveiliging omdat elke computer een zelfondertekend certificaat kan genereren. Gebruik goedkeuring van de klant om dit proces te verbeteren. Alleen vertrouwde computers goedkeuren, hetzij automatisch door Configuration Manager, hetzij handmatig door een gebruiker met beheerdersbeheer. Zie Klanten beheren voor meer informatie.

Over SSL-beveiligingslekken

Voer de volgende acties uit om de beveiliging van uw Configuration Manager-clients en -servers te verbeteren:

• TLS 1.2 inschakelen op alle apparaten en services. Om TLS 1.2 voor Configuration Manager in te schakelen, raadpleegt u TLS 1.2 inschakelen voor Configuration Manager.

• Schakel SSL 3.0, TLS 1.0 en TLS 1.1 uit.

• Orden de TLS-gerelateerde coderingssuites opnieuw.

Zie de volgende artikelen voor meer informatie:

• Het gebruik van bepaalde cryptografische algoritmen en protocollen in Schannel.dll beperken
• Prioriteit geven aan Schannel-coderingssuites

Deze procedures hebben geen invloed op de functionaliteit van Configuration Manager.