Co się wydarzyło
Harmonogram: aktualizacja ze stycznia 2026 włącza fazę audytu – RC4 działa, ale pojawia się logowanie jego użycia. Kwiecień 2026 rozpoczyna egzekwowanie: dla kont z nieokreślonym atrybutem msDS-SupportedEncryptionTypes centrum dystrybucji kluczy domyślnie przechodzi na sam AES, co może zrywać uwierzytelnianie zależnych kont usług i maszyn (jest tymczasowy klucz rejestru do wycofania zmiany). Lipiec 2026 usuwa tę furtkę: RC4 działa tylko tam, gdzie jawnie skonfigurowano je na koncie, czego Microsoft nie zaleca.
RC4 jest groźne, bo jego bilety umożliwiają Kerberoasting: dowolne ważne konto domenowe może poprosić o bilet usługi i łamać go offline, bez podniesienia uprawnień i bez alertu. RC4 łamie się znacznie szybciej niż AES, zwłaszcza dla kont usług ze słabymi hasłami.
Najważniejsze ustalenia
- Konta z nieokreślonym msDS-SupportedEncryptionTypes historycznie dopuszczały RC4 – w większości środowisk są ich tysiące.
- Konta usług, których hasła ustawiono przed Windows Server 2008, nie mają kluczy AES; samo podniesienie poziomu domeny tego nie naprawia, ale reset hasła już tak.
- Maszyny starsze niż Server 2008 nie obsługują AES, więc RC4 pozostaje dla nich twardym wymaganiem aż do wymiany.
- Silverfort oznacza w module ISPM słabe szyfrowanie użytkowników i serwerów, konta ze starymi hasłami oraz stare systemy operacyjne, a logi uwierzytelnień pozwala filtrować po biletach RC4-HMAC.