Rastov

Последнее обновление Windows 10 версии 1803 April Update принесло проблемы с отрисовкой для пользователей работающих с RemoteApp приложениями, опубликованными на RDS серверах с Windows Server 2012 R2/ Server 2016. с установленными актуальными обновлениями безопасности.

Любое действие вызываемое щелчком мыши отрисовывается в 2-3 раза дольше, особенно медленно показывается, по щелчку правой кнопки мыши, меню в RemoteApp - пункты меню мерцают, иногда совсем не отображаются.

Не корректно отрисовывается окно при развёртывании и свёртывании, иногда в сессии залипают клавиши.

При всём при этом клиенты Windows 7 и более старых версий Windows 10 (1703, 1607) с RemoteApp работают нормально. При подключении через RDP к рабочему столу все приложения и меню на RDS сервере отображаются нормально.

Помимо ошибки CredSSP encryption oracle remediation (https://pikabu.ru/story/oshibka_pri_podklyuchenii_po_rdp_cre...), о которой я писал ранее, пользователям пришлось столкнуться ещё и с плохой производительностью RemoteApp.

Так как же решить проблему? Технические специалисты компании МАРС Телеком предложили мне 3 варианта решения.

Можно попробовать временно изменить значение политики Use advanced RemoteFX graphics for RemoteApp (Использовать дополнительную графику для удаленного приложения RemoteApp) на Disabled в редакторе локальной GPO (gpedit.msc) на RDS серверах.

Политика располагается:

Computer Configuration -> Policies -> Administrative Templates -> Windows Components -> Remote Desktop Services -> Remote Desktop Session Host -> Remote Session Environment

Конфигурация компьютера -> Административные шаблоны -> Компоненты Windows -> Службы удаленных рабочих столов -> Узел сеансов удалённых рабочих столов -> Среда удаленных сеансов

Без Remote FX не будут работать графические программы, опубликованные в RemoteApp (в частности семейства CAD).

Для полноценного решения проблемы, можно откатить версию Windows на предыдущую.

Recovery Options -> Get Started -> Go back to the previous version of Windows 10

Имеется и третий вариант решения проблемы. Можно заменить на более старую версию клиента RDP. Лучше использовать библиотеки RDP из версии Windows 1607 или 1703, т.к. проблема встречалась ещё на версии 1709.

Проверьте что у Вас стоит именно версия Windows 10 1803 (OS Build 17133.1) или 1709. Запустите "Выполнить" и выполните команду:

Проблема с производительностью RemoteApp исчезнет если Вы замените файлы расположенные по пути C:\Windows\System32 на версии файлов из предыдущих версий Windows 10.

Для этого Вам необходимо:

1. Закрыть все RDP подключения и запущенные RemoteApp

2. Перезагрузить компьютер

3. Скачать архив с версиями файлов mstsc.exe и mstscax.dll из предыдущей версии Windows.

(https://yadi.sk/d/RO7B5SPY3WH9ht - ссыка с архивом на яндекс диске)

4. Необходимо скопировать в каталог C:\Backup оригинальные файлы mstsc.exe и mstscax.dll из каталога C:\windows\system32\. Это возможно сделать при помощи команд:

md c:\backup\

copy C:\windows\system32\mstsc.exe c:\backup

copy C:\windows\system32\mstscax.dll c:\backup

5. После необходимо назначить свою учётную запись владельцем файлов mstsc.exe и mstscax.dll в каталоге C:\windows\system32\, отключите наследование и предоставьте себе права на изменение файлов:

takeown /F C:\windows\system32\mstsc.exe

takeown /F C:\windows\system32\mstscax.dll

icacls C:\windows\system32\mstsc.exe /inheritance:d

icacls C:\windows\system32\mstscax.dll /inheritance:d

icacls C:\windows\system32\mstsc.exe /grant root:F

icacls C:\windows\system32\mstscax.dll /grant root:F

(в примере приведено имя локальной учтённой записи с правами администратора – root. Замените ее на имя вашей учетной записи)

6. После совершённых манипуляций замените файлы в каталоге C:\windows\system32\ файлами из скачанного архива.

7. Далее требуется восстановить оригинальные разрешения на заменённых файлах. Включаем наследования NTFS разрешений и поставим владельцем файлов «NT Service\TrustedInstaller» командами:

icacls C:\windows\system32\mstsc.exe /inheritance:e

icacls C:\windows\system32\mstscax.dll /inheritance:e

icacls C:\windows\system32\mstsc.exe /setowner "NT Service\TrustedInstaller" /T /C

icacls C:\windows\system32\mstscax.dll /setowner "NT Service\TrustedInstaller" /T /C

8. Перерегистрируем библиотеку:

reg32svr C:\Windows\System32\mstscax.dll

После проделанных действий в Ваших RemoteApp приложениях восстановится нормальная производительность.

8 мая 2018 года компания Microsoft выпустила новое обновление устраняющее уязвимость в удалённом выполнении кода в незакрепленных версиях CredSSP (поставщик проверки подлинности, который обрабатывает запросы проверки подлинности для других приложений). Злоумышленники, использующие эту уязвимость, могли передавать данные пользователя для выполнения кода в целевой системе, включая установку и удаление произвольного программного обеспечения, удаление или изменение данных на сервере, создание учётных записей с любыми правами. При этом, после обновления, многие пользователи, при попытке подключения к удалённому рабочему столу, столкнулись с ошибкой «CredSSP encryption oracle remediation»:

На самом деле это не является ошибкой, это является уведомлением о проблеме безопасности давно не обновлённого сервера.

Microsoft отреагировала на уязвимость и приступила к устранению проблемы, поделив шаги на 3 этапа.

Результат первого этапа – обновление от 13 марта 2018 года, для CredSSP и RDP, которое закрывает дыру в безопасности и добавляет новый пункт в групповые политики.

Результат второго этапа – обновление от 17 апреля 2018 года, которое предупреждает о небезопасном соединении, если у сервера или клиента будет уязвимые CredSSP или RDP.

Результат третьего этапа – как раз обновление от 8 мая 2018 г.

Для решения проблемы требуется на время отключить на компьютере, с которого Вы пытаетесь подключиться, данное блокирующее уведомление о проблеме безопасности.

Откройте редактор групповых политик - запустите «Выполнить» (нажав клавишу Win + R) и в диалоговом окне наберите «gpedit.msc» или найдите его через поиск на вашем компьютере набрав «Edit group policy» (Изменение групповой политики).

Политика должна располагаться по пути:

Computer Configuration -> Administrative Templates -> System -> Credentials Delegation -> Encryption Oracle Remediation

Конфигурация компьютера -> Административные шаблоны -> Система -> Передача учётных данных -> Исправление уязвимости шифрующего оракула

Политика имеет 3 опции:

1. Vulnerable (оставить уязвимость) – клиенты смогут подключаться как раньше, не зависимо от того, пропатчены они или нет. Это уязвимый уровень безопасности.

2. Mitigated (уменьшить риск) – клиенты не смогут подключаться к непропатченым серверам, в свою очередь серверы смогут принимать непропатченных клиентов. Средний уровень безопасности.

3. Force Updated Clients (принудительно принимать обновленные клиенты) – безопасный уровень взаимодействия клиентов – соединение установлено не будет, если один из пары клиент-сервер имеет не пропатченный RDP.

Необходимо включить политику, выбрав «Enabled» (Включено) и установить значение параметра в выпадающем списке на «Vulnerable» (Оставить уязвимость).

После проделанных действий, Вы сможете подключаться к серверу также, как и раньше.

Как только вы подключились к серверу, установите последние обновления Windows. Если возникает ошибка, при попытке установки обновления, проверьте запущена ли служба «Windows Update» (Центр обновления Windows).

Служба располагается по пути:

Start -> Control Panel -> Administrative Tools -> Services

Пуск -> Панель управления -> Администрирование -> Службы

Если служба не запускается, проверьте, разрешён ли её запуск – статус не должен быть «Disabled» (Отключена).

Для Windows Server 2008 R2 SP1 или Windows Server 2012 R2 мы можете установить не все обновления, а только одно, которое устраняет эту уязвимость, сокращая время на решение проблемы подключения к серверу.

Скачать обновление можно с сайта Microsoft на странице описания уязвимости (https://portal.msrc.microsoft.com/en-us/security-guidance/ad...):

После того, как сервер будет обновлен, необходимо в политике «Encryption Oracle Remediation» (Исправление уязвимости шифрующего оракула) будет изменить опцию с Vulnerable (оставить уязвимость), на Force Updated Clients (принудительно принимать обновленные клиенты), но в этом случае все клиенты должны быть так же обновлены или на Mitigated (уменьшить риск), что даст возможность подключаться к серверу непропатченным клиентам.

Все образы операционных систем Windows Server, предлагаемые облачными сервисами МАРС Телеком, содержат все последние обновления и после создания нового или пересоздания сервера проблем подключения к нему с ошибкой «CredSSP encryption oracle remediation» уже не будет.

Всем привет, это мой первый пост на pikabu, так что строго не судите. Хочу поделиться нашим затяжным творчеством, период которого составил 6 лет.

В 2011 году пришла мне и моему хорошему другу Кириллу Шайтанову в голову мысль, а почему бы нам не написать песню. Ведь смогём же! У Кирилла была база музыкальной школы, а у меня некоторый опыт в записи и сведении, по сути баловался этим в свободное время, но ни чего толкового не делал. И вот настал день Х, мы на несколько дней засели у меня дома и начали творить. К слову, у меня было некоторое музыкальное оборудование и микрофон, но я скорее просто баловался с ним. Подбирали долго аранжировку, текст написал сам Кирилл, да и большую часть аранжировки сыграл он самостоятельно. Прописав и перезаписав все дорожки я более недели сидел и занимался тем что работал над звучанием. Хотелось выделить гитары и сделать довольно плотный, хорошо звучащий голос, поймать тембральный окрас голоса. Повторюсь что особо опыта в этом деле не было, но хотелось сделать хорошо. Это сейчас я знаю что многие ставят референс трек (трек эталон) и ровняются по звуку на него, но я равнялся только на свой слух.

Сохранилась видео запись с одного из дней записи, записывали и перезаписывали мы 3 или 4 дня. К сожалению когда мы писали гитары, а гитары мы писали живьём, было не до записи видео, ведь процес записи проходил в домашних условиях и мы извращались как могли чтобы добиться качественного звука. Само видео с записи песни.

https://www.youtube.com/watch?v=ltTWu1AvxtE - к сожалению, т.к. первый пост, то у меня нет ещё пока рейтинга чтобы добавлять видео, потому оставляю ссылки.

В общем спустя пару недель после записи наша песня была готова. Название не могли придумать до последнего, но т.к. запись песни была в зимнее время, то и назвали песню "Зимняя" (Winter). Повторюсь что наше желание было создать что-то музыкальное и что-то только для себя, доказать себе что мы может делать музыку. Что дальше было делать с готовой композицией тогда, в 2011 году мы не знали. Далее жизнь нас раскидала по разным концам нашего города, а живём, кстати, мы в Санкт-Петербурге. Песня осталась лежать в архивах моего компьютера.

И вот май 2017 года, мы с Кириллом как-то спонтанно решили встретиться прогуляться. Надо добавить что сейчас я начал увлекаться фотосъёмкой и думал пофотографировать Кирилла с гитарой, но встретившись буквально за 20 минут родилась идея поднять нашу старую песню и снять на неё небольшое видео. Сказано, значит надо делать и мы сделали. Я бы не назвал снятое видео клипом, скорее видео зарисовкой, показать то наше творчество, которое родилось 6 лет назад полностью нашими совместными усилиями.

Это наша первая работа, если в будущем у нас всё сложится по времени, то мы запишем ещё песню (есть небольшой набросок) и попробуем ещё более качественно записать и отснять видео на новую песню (уже снимем, наверное, студию с роялем), а пока представляем что имеем. Приятного просмотра, Уважаемые читатели.

https://www.youtube.com/watch?v=JeqQI6P9eFQ&t=2s - само видео с нашей песней.