Windows: Kerberos PAC Doğrulama Protokolü Artık Zorunlu Modda! (8 Nisan 2025 İtibariyle)
Microsoft, Nisan 2025 güvenlik güncellemeleriyle birlikte Active Directory ortamlarını doğrudan etkileyen önemli bir değişikliği devreye aldı. 8 Nisan 2025 itibariyle, Kerberos PAC (Privilege Attribute Certificate) Doğrulama Protokolü için “Enforcement Phase” yani zorunlu uygulama aşamasına geçildi. Bu değişiklik, özellikle eski sistemlerle uyumluluğu sürdüren yapılarda dikkatle değerlendirilmelidir.
Kerberos PAC Doğrulaması Nedir?
Kerberos protokolü, Windows ortamlarında kimlik doğrulama için kullanılan temel güvenlik mekanizmalarından biridir. PAC (Privilege Attribute Certificate), bu protokolün bir uzantısıdır ve kullanıcının kimliğine dair ayrıcalık ve yetki bilgilerini içerir. Bu bilgiler, servis biletleriyle birlikte sistemlere iletilir.
Neler Değişti?
Microsoft, Şubat 2025’te bu protokolün güvenliğini artırmak adına bir yol haritası açıklamıştı. Bu planın son aşaması olan Zorunlu Uygulama Modu (Enforcement Phase), 8 Nisan 2025 tarihinde KB5037754 numaralı güncellemeyle birlikte devreye girdi.
Bu kapsamda:
- Registry üzerinden uyumluluk modlarını devreye alma (PacSignatureValidationLevel ve CrossDomainFilteringLevel alt anahtarları) desteği tamamen kaldırıldı.
- Artık sadece güvenli PAC doğrulaması destekleniyor.
- Uyumluluk modlarıyla çalışan eski sistemler, bu güncellemeden sonra sorun yaşayabilir.
Windows XP Kullananlar Dikkat!
Eğer hâlâ Active Directory ortamınızda Windows XP gibi çok eski istemciler bulunuyorsa, bu değişiklik onları doğrudan etkileyebilir. Bu sistemler yeni PAC doğrulama protokolüyle uyumlu olmadığı için kimlik doğrulamada başarısız olabilirler. Microsoft’un bu konuda Almanca kaynaklarda yayımladığı uyarılarda, Windows XP için “sonun başlangıcı” ifadeleri dahi yer almakta.
Ne Yapılmalı?
- Tüm istemci ve sunucularınızın Nisan 2025 güncellemelerini aldığından emin olun.
- Domain ortamınızda hala uyumsuz istemciler (örneğin XP) varsa, en kısa sürede bu sistemleri güncel desteklenen sürümlerle değiştirin.
- PAC doğrulama süreçlerini etkileyecek özel yapılandırmalarınız varsa registry ayarlarınızı gözden geçirin – artık bu anahtarlar etkisiz hale geldi.
