La firma LDAP^{(LDAP signing)} è un metodo di autenticazione in Windows Server che può migliorare la sicurezza di un server di directory. Una volta abilitato, rifiuterà qualsiasi richiesta che non richieda la firma o se la richiesta utilizza una crittografia non SSL/TLS. In questo post, condivideremo come abilitare la firma LDAP nei ^(LDAP)computer Windows Server^{(Windows Server)} e client. LDAP sta per   LDAP ( Lightweight Directory Access Protocol ).

Come abilitare la firma LDAP nei computer Windows

Per assicurarsi che l'autore dell'attacco non utilizzi un client LDAP contraffatto per modificare la configurazione e i dati del server, è essenziale abilitare la firma LDAP . È altrettanto importante abilitarlo sui computer client.

1. Impostare^(Set) il requisito di firma LDAP del server
2. Impostare^(Set) il requisito di firma LDAP del client utilizzando il criterio del computer locale^(Local)
3. Impostare^(Set) il requisito di firma LDAP del client utilizzando l' oggetto Criteri di gruppo di dominio^{(Domain Group Policy Object)}
4. Impostare^(Set) il requisito di firma LDAP del client utilizzando le chiavi del Registro di sistema^(Registry)
5. Come verificare le modifiche alla configurazione
6. Come trovare clienti che non utilizzano l'opzione " Richiedi^(Require) firma".

L'ultima sezione ti aiuta a capire i client che non hanno Richiedi firma abilitato^{(do not have Require signing enabled)} sul computer. È uno strumento utile per gli amministratori IT per isolare quei computer e abilitare le impostazioni di sicurezza sui computer.

1] Impostare^(Set) il requisito di firma LDAP del server

1. Apri Microsoft Management Console (mmc.exe)
2. Seleziona File >  Aggiungi^(Add) /Rimuovi snap-in > seleziona  Editor oggetti Criteri di gruppo^{(Group Policy Object Editor)} e quindi seleziona  Aggiungi^(Add) .
3. Si aprirà la procedura guidata Criteri^{(Group Policy Wizard)} di gruppo . Fare clic^(Click) sul pulsante Sfoglia^(Browse) e selezionare  Criterio dominio predefinito^{(Default Domain Policy)} anziché Computer locale
4. Fare clic^(Click) sul pulsante OK, quindi sul pulsante Fine^(Finish) e chiuderlo.
5. Seleziona  Default Domain Policy > Computer Configuration > Windows Settings > Security Settings > Local Policies , quindi seleziona Opzioni di sicurezza.
6. Fare clic con il pulsante destro del mouse su  Controller di dominio: requisiti di firma del server LDAP^{(Domain controller: LDAP server signing requirements)} e quindi selezionare Proprietà.
7. Nella   finestra di dialogo  Proprietà^(Properties) controller di dominio^(Domain) : requisiti di firma del server LDAP , abilitare ^(LDAP)Definisci^(Define) questa impostazione dei criteri, selezionare  Richiedi la firma nell'elenco Definisci questa impostazione dei criteri^{(Require signing in the Define this policy setting list,)} e quindi selezionare OK.
8. Ricontrolla le impostazioni e applicale.

2] Impostare il requisito di firma ^(Set)LDAP del client utilizzando il criterio del computer locale

1. Apri il prompt Esegui^(Run) e digita gpedit.msc e premi il tasto Invio^(Enter) .
2. Nell'editor dei criteri di gruppo, vai a Local Computer Policy > Computer Configuration > Policies > Windows Settings > Security Settings > Local Policies e quindi seleziona  Opzioni di sicurezza.^{(Security Options.)}
3. Fare clic con il pulsante destro del mouse su Sicurezza di rete: requisiti^{(Network security: LDAP client signing requirements)} di firma del client LDAP e quindi selezionare Proprietà.
4. Nella   finestra di dialogo  Proprietà^(Properties) sicurezza di rete^(Network) : requisiti di firma client LDAP , selezionare ^(LDAP)Richiedi firma^{(Require signing)} nell'elenco e quindi scegliere OK.
5. Conferma le modifiche e applicale.

3] Impostare il requisito di firma ^(Set)LDAP del client utilizzando un oggetto Criteri di gruppo^{(Group Policy Object)} di dominio

1. Apri Microsoft Management Console (mmc.exe)^{(Open Microsoft Management Console (mmc.exe))}
2. Seleziona  File  >  Add/Remove Snap-in >  seleziona  Editor oggetti Criteri di gruppo^{(Group Policy Object Editor)} e quindi seleziona  Aggiungi^(Add) .
3. Si aprirà la procedura guidata Criteri^{(Group Policy Wizard)} di gruppo . Fare clic^(Click) sul pulsante Sfoglia^(Browse) e selezionare  Criterio dominio predefinito^{(Default Domain Policy)} anziché Computer locale
4. Fare clic^(Click) sul pulsante OK, quindi sul pulsante Fine^(Finish) e chiuderlo.
5. Seleziona  Criteri di dominio predefiniti^{(Default Domain Policy)}  >  Configurazione computer^{(Computer Configuration)}  >  Impostazioni di Windows^{(Windows Settings)}  >  Impostazioni di sicurezza^{(Security Settings)}  >  Criteri locali^{(Local Policies)} , quindi seleziona  Opzioni di sicurezza^{(Security Options)} .
6. Nella  finestra di dialogo  Proprietà sicurezza di rete: requisiti di firma client LDAP  , selezionare ^{(Network security: LDAP client signing requirements Properties )}Richiedi firma ^{(Require signing )} nell'elenco e quindi scegliere  OK .
7. Conferma^(Confirm) le modifiche e applica le impostazioni.

4] Impostare il requisito di firma ^(Set)LDAP del client utilizzando le chiavi di registro

La prima e più importante cosa da fare è fare un backup del registro

• Apri l'editor del registro
• Passare a HKEY_LOCAL_MACHINE \ SYSTEM \ CurrentControlSet \ Services \ <InstanceName> \Parameters
• Fare clic^{(Right-click)} con il pulsante destro del mouse sul riquadro di destra e creare una nuova DWORD con il nome LDAPServerIntegrity
• Lascialo al suo valore predefinito.

<InstanceName >: nome dell'istanza di AD LDS che si desidera modificare.

5] Come^(How) verificare se le modifiche alla configurazione ora richiedono l'accesso

Per assicurarsi che la politica di sicurezza funzioni, ecco come verificarne l'integrità.

1. Accedi a un computer in cui sono installati gli strumenti di amministrazione di Servizi di dominio Active Directory .^{(AD DS Admin Tools)}
2. Aprire il prompt Esegui^(Run) , digitare ldp.exe e premere il tasto Invio^(Enter) . È un'interfaccia utente utilizzata per navigare nello spazio dei nomi di Active Directory
3. Seleziona Connessione > Connetti.
4. In  Server  e  porta^(Port) , digitare il nome del server e la porta non SSL/TLS del server di directory, quindi selezionare OK.
5. Dopo aver stabilito una connessione, selezionare Connessione > Associa.
6. In  Tipo di associazione^(Bind) , seleziona  Associazione semplice^(Simple) .
7. Digitare il nome utente e la password, quindi selezionare OK.

Se ricevi un messaggio di errore che dice  Ldap_simple_bind_s() non riuscito: Strong Authentication Required^{(Ldap_simple_bind_s() failed: Strong Authentication Required)} , allora hai configurato correttamente il tuo server di directory.

6] Come^(How) trovare i clienti che non utilizzano l'opzione " Richiedi^(Require) firma".

Ogni volta che una macchina client si connette al server utilizzando un protocollo di connessione non sicuro, genera l' ID evento 2889^{(Event ID 2889)} . La voce di registro conterrà anche gli indirizzi IP dei client. Sarà necessario abilitarlo impostando l'  impostazione diagnostica  16  LDAP Interface Events su ^{(LDAP Interface Events)}2 (Base). ^{(2 (Basic). )}Scopri come configurare la registrazione degli eventi diagnostici AD e LDS qui su Microsoft^{(here at Microsoft)} .

La firma LDAP^{(LDAP Signing)} è fondamentale e spero che sia stata in grado di aiutarti a capire chiaramente come abilitare la firma LDAP in ^(LDAP)Windows Server e sui computer client.

How to enable LDAP signing in Windows Server & Client Machines

LDAP signing is an authentication method in Windows Server that can improve the security of a directory server. Once enabled, it will reject any request that doesn’t ask for signing or if the request is using non-SSL/TLS-encrypted. In this post, we will share how you can enable LDAP signing in Windows Server and client machines. LDAP stands for  Lightweight Directory Access Protocol (LDAP).

How to enable LDAP signing in Windows computers

To make sure that the attacker doesn’t use a forged LDAP client to change server configuration and data, it is essential to enabling LDAP signing.  It is equally important to enable it on the client machines.

1. Set the server LDAP signing requirement
2. Set the client LDAP signing requirement by using Local computer policy
3. Set the client LDAP signing requirement by using the Domain Group Policy Object
4. Set the client LDAP signing requirement by using Registry keys
5. How to verify configuration changes
6. How to find clients that do not use the “Require signing” option

The last section helps you to figure out clients that do not have Require signing enabled on the computer. It is a useful tool for IT admins to isolate those computers, and enable the security settings on the computers.

1] Set the server LDAP signing requirement

1. Open Microsoft Management Console (mmc.exe)
2. Select File > Add/Remove Snap-in > select Group Policy Object Editor, and then select Add.
3. It will open the Group Policy Wizard. Click on the Browse button, and select Default Domain Policy instead of Local Computer
4. Click on the OK button, and then on the Finish button, and close it.
5. Select Default Domain Policy > Computer Configuration > Windows Settings > Security Settings > Local Policies, and then select Security Options.
6. Right-click Domain controller: LDAP server signing requirements, and then select Properties.
7. In the Domain controller: LDAP server signing requirements Properties dialog box, enable Define this policy setting, select Require signing in the Define this policy setting list, and then select OK.
8. Recheck the settings and apply them.

2] Set the client LDAP signing requirement by using local computer policy

1. Open Run prompt, and type gpedit.msc, and press the Enter key.
2. In the group policy editor, navigate to Local Computer Policy > Computer Configuration > Policies > Windows Settings > Security Settings > Local Policies, and then select Security Options.
3. Right-click on Network security: LDAP client signing requirements, and then select Properties.
4. In the Network security: LDAP client signing requirements Properties dialog box, select Require signing in the list and then choose OK.
5. Confirm changes and apply them.

3] Set the client LDAP signing requirement by using a domain Group Policy Object

1. Open Microsoft Management Console (mmc.exe)
2. Select File > Add/Remove Snap-in > select Group Policy Object Editor, and then select Add.
3. It will open the Group Policy Wizard. Click on the Browse button, and select Default Domain Policy instead of Local Computer
4. Click on the OK button, and then on the Finish button, and close it.
5. Select Default Domain Policy > Computer Configuration > Windows Settings > Security Settings > Local Policies, and then select Security Options.
6. In the Network security: LDAP client signing requirements Properties dialog box, select Require signing in the list and then choose OK.
7. Confirm changes and apply the settings.

4] Set the client LDAP signing requirement by using registry keys

The first and foremost thing to do is take a backup of your registry

• Open Registry Editor
• Navigate to HKEY_LOCAL_MACHINE \ SYSTEM \ CurrentControlSet \ Services \ <InstanceName> \Parameters
• Right-click on the right pane, and create a new DWORD with name LDAPServerIntegrity
• Leave it to its default value.

<InstanceName>: Name of the AD LDS instance that you want to change.

5] How to verify if configuration changes now require sign-in

To make sure the security policy is working here is how to check its integrity.

1. Sign in to a computer that has the AD DS Admin Tools installed.
2. Open Run prompt, and type ldp.exe, and press the Enter key. It is a UI used for navigating through the Active Directory namespace
3. Select Connection > Connect.
4. In Server and Port, type the server name and the non-SSL/TLS port of your directory server, and then select OK.
5. After a connection is established, select Connection > Bind.
6. Under Bind type, select Simple bind.
7. Type the user name and password, and then select OK.

If you receive an error message saying  Ldap_simple_bind_s() failed: Strong Authentication Required, then you have successfully configured your directory server.

6] How to find clients that do not use the “Require signing” option

Every time a client machine connects to the server using an insecure connection protocol, it generates Event ID 2889.  The log entry will also contain the IP addresses of the clients. You will need to enable this by setting the 16 LDAP Interface Events diagnostic setting to 2 (Basic). Learn how to configure AD and LDS diagnostic event logging here at Microsoft.

LDAP Signing is crucial, and I hope the was able to help you clearly understand how you can enable LDAP signing in Windows Server, and on the client machines.

Related posts

• Configura Remote Access Client Account Lockout in Windows Server

• Disabilita azioni amministrative da Windows Server

• Iperius Backup: Freeware per automatizzare i backup in Windows 10

• Come comprimere Bloated Registry alveari in Windows Server

• Come Enable & Configure DNS Aging & Scavenging in Windows Server

• GitAtomic è un Git GUI Client per i sistemi Windows

• Backup VMware Virtual Machines con Azure Backup Server

• Public DNS Server Tool è un DNS changer gratuito per Windows 10

• Come creare un pubblico VPN Server su Windows 10

• DHCP Client Service dà Access Denied error in Windows 11/10

• Il tuo DNS Server potrebbe non essere disponibile in Windows 10

• Setup Filezilla Server and Client: Screenshot and Video tutorial

• Fix Fallout 76 Disconnected da Server

• Come installare e visualizzare gli strumenti di amministrazione remota del server (RSAT) in Windows 11

• Fix Omegle Error Connecting a Server (2021)

• Fix Your DNS Server potrebbe essere un errore non disponibile

• Fix Ca non raggiunge lo VPN Server error su PIA su Windows 11

• Access FTP Server Utilizzo dello Command Prompt in Windows 10

• Windows Update Client non è riuscito a rilevare error 0x8024001f

• Windows Camera Frame Server service8 è terminato inaspettatamente