Details zum Ereignis mit ID 41 der Quelle Microsoft-Windows-Kerberos-Key-Distribution-Center

Ereignisquelle:	Microsoft-Windows-Kerberos-Key-Distribution-Center
Ereignis-ID:	41 (0x80000029)
Ereignisprotokoll:	System
Ereignistyp:	Warnung oder Fehler
Ereignistext (englisch):	The Key Distribution Center (KDC) encountered a user certificate that was valid but contained a different SID than the user to which it mapped. As a result, the request involving the certificate failed. See https://go.microsoft.com/fwlink/?linkid=2189925 to learn more. User: %1 User SID: %2 Certificate Subject: %3 Certificate Issuer: %4 Certificate Serial Number: %5 Certificate Thumbprint: %6 Certificate SID: %7
Ereignistext (deutsch):	Der Schlüsselverteilungscenter (KDC) hat ein gültiges Benutzerzertifikat gefunden, das jedoch eine andere SID enthielt als der Benutzer, dem es zugeordnet ist. Dies hat zur Folge, dass bei der Anforderung, die das Zertifikat betrifft, ein Fehler aufgetreten ist. Weitere Informationen finden Sie unter https://go.microsoft.com/fwlink/?linkid=2189925. Benutzer: %1 Benutzer-SID: %2 Zertifikatantragsteller: %3 Zertifikataussteller: %4 Seriennummer des Zertifikats: %5 Zertifikatfingerabdruck: %6 Zertifikat-SID: %7

Parameter

Die im Ereignistext enthaltenen Parameter werden mit folgenden Feldern befüllt:

• %1: AccountName (win:UnicodeString)
• %2: AccountSid (win:UnicodeString)
• %3: Subject (win:UnicodeString)
• %4: Issuer (win:UnicodeString)
• %5: SerialNumber (win:UnicodeString)
• %6: Thumbprint (win:UnicodeString)
• %7: CertificateSid (win:UnicodeString)
• %8: __binLength (win:UInt32)
• %9: binary (win:Binary)

Beschreibung

Hierzu wurde noch keine Beschreibung verfasst.

Sicherheitsbewertung

Die Sicherheitsbetrachtung richtet sich nach den drei Dimensionen Vertraulichkeit (Confidentiality), Integrität (Integrity) und Verfügbarkeit (Availability).

Für dieses Ereignis sollte auf alle Fälle eine Alarmierung ausgelöst werden, da im Falle einer Protokollierung Zertifikate nicht akzeptiert werden. Dies kann auf einen Angriff, aber auch auf eine Fehlkonfiguration mit Auswirkung auf die Verfügbarkeit hinweisen.

Weiterführende Links:

• Anmeldung am Active Directory mit dem Patch für Windows Server vom 10. Mai 2022 (KB5014754)
• Übersicht über die für die PKI relevanten Active Directory Ereignisse
• Übersicht über die von der Zertifizierungsstelle generierten Windows-Ereignisse
• Übersicht über die von der Zertifizierungsstelle generierten Audit-Ereignisse

Externe Quellen

• KB5014754—Certificate-based authentication changes on Windows domain controllers (Microsoft Corporation)