CVE

组策略

---

策略路径和设置名称

说明

策略路径：“计算机配置”->“管理模板”->“系统”->“凭据分配” 设置名称： 加密 Oracle 修正

加密 oracle 修正 此策略设置可应用于使用 CredSSP 组件（例如，远程桌面连接）的应用程序。 CredSSP 协议的某些版本容易受到针对客户端的加密 oracle 攻击。 此策略控制与易受攻击的客户端和服务器的兼容性。 此策略允许你设置针对加密 oracle 漏洞的防护级别。 如果启用此策略设置，将会基于以下选项选择 CredSSP 版本支持： 强制更新的客户端– 使用 CredSSP 的客户端应用程序将无法回退到不安全的版本，且使用 CredSSP 的服务将不接受未修补的客户端。 注意 在所有远程主机支持最新版本之前，不应部署此设置。 缓解– 使用 CredSSP 的客户端应用程序将无法回退到不安全的版本，但使用 CredSSP 的服务将接受未修补的客户端。 易受攻击– 使用 CredSSP 的客户端应用程序将通过支持回退到不安全的版本使远程服务器遭受攻击，但使用 CredSSP 的服务将接受未修补的客户端。

 

“加密 Oracle 修正组策略”支持以下三个选项，应将这些选项应用于客户端和服务器：

策略设置	注册表值	客户端行为	服务器行为
强制更新的客户端	0	使用 CredSSP 的客户端应用程序将无法回退到不安全的版本。	使用 CredSSP 的服务将不接受未修补的客户端。 注意 在所有 Windows 和第三方 CredSSP 客户端支持最新的 CredSSP 版本之前，不应部署此设置。
缓解	1	使用 CredSSP 的客户端应用程序将无法回退到不安全的版本。	使用 CredSSP 的服务将接受未修补的客户端。
易受攻击	2	使用 CredSSP 的客户端应用程序将通过支持回退到不安全的版本使远程服务器遭受攻击。	使用 CredSSP 的服务将接受未修补的客户端。