DCOM Security

En réponse au correctif de sécurisation renforcée DCOM (Distributed Component Object Model)
Microsoft
 (MS KB5004442), le niveau d'authentification DCOM minimum utilisé par les produits
Rockwell Automation
 a été augmenté au niveau Intégrité des paquets.
IMPORTANT:
L'installation de la dernière version de ce produit avec des versions antérieures non corrigées d'autres produits
FactoryTalk
 ou de produits utilisant des connexions OPC-DA classiques peut entraîner une perte de connectivité en raison de la différence de niveau d'authentification DCOM utilisé. Pour plus d'informations, reportez-vous à l'ID de document de la base de connaissances suivant : IN39461 - Sommaire des informations de sécurisation renforcée Microsoft DCOM.
Microsoft
 publie le correctif de sécurisation renforcée DCOM en réponse à CVE-2021-26414. Ce correctif augmente le niveau d'authentification DCOM minimum requis pour établir une connexion DCOM. DCOM est utilisé par de nombreux produits
Rockwell Automation
 et peut être affecté par le changement lié au correctif
Microsoft
. Pour plus d'informations sur les produits
Rockwell Automation
 concernés, reportez-vous au document de la base de connaissances suivant : PN1581 - Notification de produit 2022--01--001 - Les produits Rockwell Automation ne peuvent pas établir une connexion DCOM appropriée après l'installation du correctif de sécurisation renforcée Microsoft DCOM (MS KB5004442).
Impact sur le logiciel
Rockwell Automation
Si le correctif
Microsoft
 a été installé sur les ordinateurs de votre réseau, le niveau d'authentification DCOM des applications client ou serveur sur ces ordinateurs doit être mis à jour vers RPC_C_AUTHN_LEVEL_PKT_INTEGRITY, alors que les niveaux d'authentification des applications ne sont pas mis à jour sur les autres ordinateurs. C'est pourquoi la communication entre ces deux types d'ordinateurs échouera.
CONSEIL:
  • Les applications serveur et client OPC-DA distribuées sont également impactées.
  • Pour garantir une communication correcte, le niveau d'authentification de l'application serveur et de l'application client doit être identique.
Solutions
Nous vous recommandons d'installer la dernière version du logiciel
Rockwell Automation
 ou d'installer le correctif pour la version correspondante du logiciel.
Pour éviter ce problème de compatibilité, vérifiez que toutes les applications
Rockwell Automation
 que vous utilisez sont mises à jour.
Si le correctif
Microsoft
 n'a pas été installé sur certains ordinateurs de votre réseau ou si certaines applications
Rockwell Automation
 n'ont pas été mises à jour vers la dernière version, vous pouvez diminuer le niveau d'authentification des applications DCOM sur tous les ordinateurs. Pour ce faire, effectuez l'une des opérations suivantes :
  • Supprimez le correctif Microsoft DCOM de tous les postes de travail du système.
  • Basculez le niveau d'authentification DCOM sur tous les postes de travail du système en utilisant l'une des méthodes suivantes :
    • Utilisez l'
      Éditeur du registre
      .
      • Logiciel FactoryTalk
        • Ouvrez l'
          Éditeur du Registre
          , sélectionnez
          HKEY_LOCAL_MACHINE
           >
          SOFTWARE
           >
          WOW6432Node
           >
          Rockwell Software
           >
          FactoryTalk
           >
          Platform
          , cliquez avec le bouton droit sur
          DCOMAuthLevel
           >
          Modifier
          , puis modifiez les
          Données de la valeur
           sur 1. La valeur par défaut après la mise à niveau de l'application
          Rockwell Automation
           est 5 (RPC_C_AUTHN_LEVEL_PKT_INTEGRITY) et la valeur d'origine est 1 (RPC_C_AUTHN_LEVEL_PKT_NONE).
      • Logiciel RSLinx Classic
        • Ouvrez l'
          Éditeur du Registre
          , sélectionnez
          HKEY_LOCAL_MACHINE
           >
          SOFTWARE
           >
          WOW6432Node
           >
          Rockwell Software
           >
          RSLinx
          , cliquez avec le bouton droit sur
          DCOMAuthLevel
           >
          Modifier
          , puis modifiez les
          Données de la valeur
           sur 1. La valeur par défaut après la mise à niveau de l'application
          Rockwell Automation
           est 5 (RPC_C_AUTHN_LEVEL_PKT_INTEGRITY) et la valeur d'origine est 1 (RPC_C_AUTHN_LEVEL_PKT_NONE).
    • Utilisez l'utilitaire
      DCOMAuthLevel
      .
      • Ouvrez
        DCOMAuthLevel
        , sélectionnez
        Aucun (pour une compatibilité ascendante)
        , puis cliquez sur
        OK
        .
        CONSEIL:
        • un niveau d'authentification inférieur à 5 ne sera pas pris en charge après l'installation du correctif
          Microsoft
          .
        • Cet utilitaire ajuste le niveau d'authentification pour FactoryTalk Services Platform, l'interface client OPC-DA FactoryTalk Live Data, l'interface de serveur OPC-DA FactoryTalk Linx Gateway et l'interface de serveur OPC-DA de RSLinx Classic.
        • Le paramètre de configuration DCOM des services de composants Windows n'est pas utilisé ou pris en charge par le logiciel FactoryTalk ou RSLinx Classic.
Paramètres de groupe de travail et de domaine une fois que le niveau d'authentification de l'application doit être mis à jour
Une fois le niveau d'authentification des applications ajusté sur RPC_C_AUTHN_LEVEL_PKT_INTEGRITY, vérifiez que tous les utilisateurs de votre réseau qui contiennent des logiciels
Rockwell Automation
 et un OPC-DA tiers répondent aux exigences de DCOM pour RPC_C_AUTHN_LEVEL_PKT_INTEGRITY :
  • Lorsque vous travaillez au sein d'un groupe de travail, chaque utilisateur doit être créé localement sur chaque ordinateur participant à la connexion. De plus, chaque poste de travail d'un groupe de travail doit posséder les mêmes comptes utilisateurs, avec les mêmes noms d'utilisateurs et mots de passe sur chaque poste pour que l'authentification s'effectue. Dans la plupart des cas, un mot de passe vide n'est pas valide. Dans certains cas, même si le compte utilisateur dispose de droits d'administrateur, il se peut que vous ayez des problèmes d'authentification DCOM. Nous vous recommandons d'utiliser le compte administrateur intégré de Windows pour le faire fonctionner.
  • Lorsque vous travaillez dans un domaine, les utilisateurs et les groupes locaux n'ont pas besoin d'être ajoutés sur chaque ordinateur. Si vous préférez travailler dans un domaine, un administrateur réseau devra peut-être implémenter les modifications.
Pour plus d'informations, reportez-vous à la documentation Microsoft Configuration d'un utilisateur ou d'un groupe de domaine.
Fournir une réponse
Vous avez des questions ou des commentaires sur cette documentation ? Veuillez envoyer vos commentaires ici.
Normal