KEYOFFICE

 

🚨 Mise à jour Windows Server avril 2025 : Dysfonctionnements Kerberos et authentification AD

🚨 Windows Server April 2025 Update: Kerberos Failures and AD Authentication Issues

---

🧽 Sommaire / Table of Contents

1. Introduction

2. Détails de la mise à jour d’avril 2025

3. Environnements impactés

4. Symptômes observés

5. Origine technique des erreurs Kerberos

6. Explication de la clé de registre de contournement

7. Témoignages de professionnels IT

8. Conséquences pour les grandes entreprises

9. Recommandations provisoires pour les administrateurs

10. Réponse de Microsoft

11. Bonnes pratiques futures

12. Conclusion

---

1. Introduction

🇫🇷

Depuis le 8 avril 2025, une mise à jour de sécurité déployée sur Windows Server provoque des dysfonctionnements majeurs dans l’authentification Active Directory, notamment dans les environnements utilisant des certificats, Windows Hello ou des solutions SSO (Single Sign-On) tierces. Les erreurs sont liées au protocole Kerberos, ce qui entraîne des échecs d’accès pour de nombreux utilisateurs.

🇬🇧

Since April 8, 2025, a security update deployed on Windows Server has been causing major disruptions in Active Directory authentication, particularly in environments using certificates, Windows Hello, or third-party SSO (Single Sign-On) solutions. The issues stem from Kerberos protocol errors, resulting in widespread access failures for users.

---

2. Détails de la mise à jour d’avril 2025

🇫🇷

La mise à jour, publiée le 8 avril 2025, est censée renforcer la sécurité autour de l’infrastructure Kerberos et NTAuth. Toutefois, elle introduit une validation plus stricte des certificats, affectant négativement les authentifications utilisant PKINIT, les cartes à puce et les clés de confiance Windows Hello.

🇬🇧

The update, released on April 8, 2025, is designed to tighten security around Kerberos infrastructure and NTAuth mechanisms. However, it enforces stricter certificate validation, negatively impacting PKINIT-based authentication, smartcard logins, and Windows Hello Key Trust environments.

---

3. Environnements impactés

🇫🇷

Les systèmes affectés incluent :

• Windows Server 2016 à 2025

• Clients utilisant Windows Hello for Business (mode Key Trust)

• Environnements PKINIT avec certificats

• Solutions d’authentification tierces (SSO)

🇬🇧

Affected systems include:

• Windows Server 2016 to 2025

• Clients using Windows Hello for Business (Key Trust mode)

• PKINIT environments with certificates

• Third-party authentication solutions (SSO)

---

4. Symptômes observés

🇫🇷

Les administrateurs rapportent les anomalies suivantes :

• ❌ Connexions utilisateur échouées

• 🔐 Erreurs d’authentification avec certificats ou cartes à puce

• 📂 Entrées dans le journal NTDS (ID 21 ou 45)

• 💳 Cartes à puce refusées lors de la connexion

🇬🇧

Administrators report the following symptoms:

• ❌ User logon failures

• 🔐 Authentication errors with certificates or smartcards

• 📂 NTDS log entries (Event IDs 21 or 45)

• 💳 Smartcard login attempts rejected

---

5. Origine technique des erreurs Kerberos

🇫🇷

Le protocole Kerberos utilise des tickets pour authentifier les utilisateurs. La mise à jour impose un contrôle strict sur la présence de certificats valides dans l’autorité NTAuth. Si un certificat n’est pas reconnu comme autorisé, l’authentification échoue — même si le certificat est valide par ailleurs.

🇬🇧

Kerberos uses tickets to authenticate users. The update enforces strict checks for valid certificates within the NTAuth store. If a certificate is not explicitly trusted, the authentication fails—even if the certificate is otherwise valid.

---

6. Explication de la clé de registre de contournement

🇫🇷

Microsoft propose une solution temporaire : ajouter la clé suivante sur les contrôleurs de domaine (DC) :

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Kdc]
"AllowNtAuthPolicyBypass"=dword:00000001

Cette modification désactive temporairement le contrôle strict de NTAuth, permettant aux authentifications via certificat de fonctionner.

🇬🇧

Microsoft suggests a temporary fix: add the following registry key on affected Domain Controllers (DCs):

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Kdc]
"AllowNtAuthPolicyBypass"=dword:00000001

This bypass temporarily disables strict NTAuth certificate validation, allowing certificate-based authentication to proceed.

---

7. Témoignages de professionnels IT

🇫🇷

“Après la mise à jour, tous nos postes avec cartes à puce ont cessé de fonctionner. Impossible de se connecter sans intervention manuelle.”
— Responsable sécurité informatique, secteur bancaire

“Nous avons dû suspendre l’accès distant à notre VPN car les certificats ne passaient plus l’authentification Kerberos.”
— Administrateur système, grande entreprise de télécoms

🇬🇧

“After the update, all our smartcard-enabled workstations stopped working. No logon possible without manual override.”
— IT Security Lead, banking sector

“We had to temporarily disable VPN access due to certificate-based Kerberos failures.”
— Sysadmin, major telecom company

---

8. Conséquences pour les grandes entreprises

🇫🇷

Les effets sont significatifs :

• Blocage d’accès pour les comptes protégés par carte à puce

• Augmentation massive des tickets helpdesk

• Menaces sur la continuité des opérations dans les milieux critiques

• Besoin de redéployer des stratégies d’authentification

🇬🇧

The consequences are significant:

• Access blockages for smartcard-protected accounts

• Surge in helpdesk support tickets

• Operational disruption in critical environments

• Need to reassess authentication strategies

---

9. Recommandations provisoires pour les administrateurs

🇫🇷

En attendant un correctif officiel :

• Appliquer la clé de registre sur tous les DC impactés

• Informer les utilisateurs sur l’usage alternatif de mot de passe

• Documenter tous les changements dans la GPO

• Sauvegarder les registres avant toute modification

🇬🇧

Until an official patch is released:

• Apply the registry key to all affected DCs

• Notify users to fall back on password logins

• Document all changes in Group Policy

• Backup registry entries before editing

---

10. Réponse de Microsoft

🇫🇷

Microsoft a reconnu le problème dans une note officielle. Les équipes de support étudient actuellement une solution définitive, prévue pour fin mai 2025. Aucune action corrective automatique n’est encore déployée via Windows Update.

🇬🇧

Microsoft has acknowledged the issue in an official note. The support teams are actively investigating a permanent solution, expected by late May 2025. No automated fix has been deployed via Windows Update yet.

---

11. Bonnes pratiques futures

🇫🇷

Pour limiter ce type d’impact à l’avenir :

• Tester les mises à jour dans un environnement de préproduction

• Maintenir un inventaire des certificats utilisés dans AD

• Vérifier la présence des autorités de certification dans NTAuth

• Mettre en place un plan de retour arrière documenté

🇬🇧

To minimize future impact:

• Test updates in a staging environment

• Maintain an inventory of certificates used in AD

• Verify that certification authorities are listed in NTAuth

• Implement a documented rollback plan

---

12. Conclusion

🇫🇷

Ce nouvel incident met en lumière la complexité croissante des environnements d’authentification moderne, surtout dans un contexte où la sécurité des identités est primordiale. Une vigilance accrue, une documentation rigoureuse et des tests en amont deviennent des pratiques incontournables.

🇬🇧

This incident highlights the growing complexity of modern authentication environments, especially as identity security becomes more critical than ever. Greater vigilance, rigorous documentation, and proactive testing must become standard practices.