微軟宣布，遠程桌面連接的智能卡身份驗證問題已通過回滾在 2021 年 10 月的更新中得到修復(fù)。同時，我在博客上看到有報道稱，2021 年 10 月的 Windows 10 安全更新將破壞 YubiKey 身份驗證，這也應(yīng)該得到修復(fù)。

在 2021 年 10 月安全更新發(fā)布后(請參閱補丁日：Windows 10-更新(2021 年 10 月 12 日))，幾位管理員在我的德語博客中發(fā)表評論，描述 YubiKey 身份驗證如何不再起作用。IT 家伙寫道：

不幸的是，更新破壞了通過 Yubikey 的 RDP 登錄。

卸載 KB5006670 后，可以再次登錄。

別名為 CloudKasper 的用戶補充說：

同上，…… 他們真的會檢查自己的狗糧嗎?

特別是這里 Yubikey 帶有 MS AD Enterprise CA，沒有第三方軟件。

據(jù)該用戶稱，該問題也影響了 Windows Hello。在第二條評論中，他寫道：

我還沒有找到解決方案。它似乎也會影響 Windows Hello。

昨天在我們結(jié)束時進行的快速測試表明，它不會影響同一域中的 RDP 客戶端，只會影響沒有域從屬關(guān)系的 RDP 客戶端(在我們的例子中，未登錄到域的 Surface)。到目前為止，樣本太小，無法重現(xiàn)。

但是肯定有很多管理員使用帶有 MS CA 的星座 Yubikey 智能卡證書。

在最近的評論中，CloudKasper 指出(對此表示感謝)微軟已經(jīng)確認了這一點，并且當嘗試使用版本 21H1 的 Windows 10 狀態(tài)區(qū)域中的遠程桌面進行連接時，指向后智能卡身份驗證的鏈接可能會失敗。

后嘗試使用遠程桌面連接時，智能卡身份驗證可能會失敗使用智能卡時，在Windows 10狀態(tài)區(qū)域由Microsoft發(fā)布的版本21H1地址的尋址問題。它提到了遠程桌面(但也應(yīng)該影響 Windows Hello，如上所述)。微軟寫道：

安裝KB5005611或更高版本的更新后，當使用遠程桌面連接到不受信任域中的設(shè)備時，使用智能卡身份驗證時連接可能無法進行身份驗證。您可能會收到提示“您的憑據(jù)無效。用于連接到 [設(shè)備名稱] 的憑據(jù)無效。請輸入新憑據(jù)。” 和“登錄嘗試失敗”為紅色。

更新KB5005611是 2021 年 9 月 30 日的預(yù)覽更新。安裝 KB5005611 或更新的更新后，使用遠程桌面連接到不受信任域中的設(shè)備時，智能卡身份驗證可能會失敗。用戶收到一條消息“您的憑據(jù)無效。用于連接到 [設(shè)備名稱] 的憑據(jù)無效。請輸入新憑據(jù)。” 和紅色字體的“登錄嘗試失敗”。如果已安裝更新，以下系統(tǒng)會受到影響：

• 客戶端：Windows 10，版本 21H1;Windows 10，版本 20H2;Windows 10，版本 2004。

• 服務(wù)器：Windows Server 2022;Windows Server，版本 20H2;Windows Server，版本 2004。

微軟對這個問題使用了一個深刻的解決方案，并通過 KIR(Know Issues Rollback)功能從受影響的機器上簡單地刪除了受影響的補丁。這也應(yīng)該使通過 YubiKey 的身份驗證再次起作用。對于非托管系統(tǒng)，從 10 月 15 日開始的回滾是自動的。對于受管系統(tǒng)(企業(yè))，必須推出觸發(fā)回滾的組策略。