Martin's Blog » Windows 7

Eventlog Einträge mit der Ereigniskennung 675 im Sicherheit Ereignisprotokoll

Martin Richter — Mon, 10 May 2010 19:50:13 +0000

Auf meinem Windows Server 2003 R2 haben sich in der letzten Zeit Fehlereinträge im Eventlog für die Sicherheit angehäuft. Und das bis zu 200 Einträge und mehr täglich.

Bei der Analyse stieß ich hauptsächlich auf die Ereigniskennung 675 mit dem Fehlercode 0×19. Meistens traten diese Eventlog Einträge im Viererpack auf, immer wenn ein Benutzer sich mit seinem PC im Netz angemeldet hat. Jeweils erschienen dann Einträge für den PC und den Benutzer, wie die nachfolgenden Beispiele beiden Beispiele aus dem Ereignisprotokoll meines Servers zeigen:

Ereignistyp: Fehlerüberw.
Ereignisquelle: Security
Ereigniskategorie: Kontoanmeldung
Ereigniskennung: 675
Datum: 21.04.2010
Zeit: 10:48:33
Benutzer: NT-AUTORITÄT\SYSTEM
Computer: SERVER
Beschreibung:
Fehlgeschlagene Vorbestätigung:
  Benutzername: COMPUTER$
  Benutzerkennung: DOMAIN\COMPUTER$
  Dienstname: krbtgt/domain.loc
  Vorauthentifizierungstyp: 0x0
  Fehlercode: 0x19
  Clientadresse: 192.168.16.150

sowie:

Ereignistyp: Fehlerüberw.
Ereignisquelle: Security
Ereigniskategorie: Kontoanmeldung
Ereigniskennung: 675
Datum: 21.04.2010
Zeit: 10:48:52
Benutzer: NT-AUTORITÄT\SYSTEM
Computer: SERVER
Beschreibung:
Fehlgeschlagene Vorbestätigung:
  Benutzername: Martin
  Benutzerkennung: DOMAIN\Martin
  Dienstname: krbtgt/DOMAIN
  Vorauthentifizierungstyp: 0x0
  Fehlercode: 0x19
  Clientadresse: 192.168.16.150

Nach einiger Recherche kam ich dahinter, dass dies nur Arbeitsplätze betraf, die Windows Vista oder Windows 7 einsetzten. Rechner mit Windows XP oder Windows 2003 Server tauchten hier nie auf.

Ein wenig weiteres Forschen brachte mich dann auf die Ursache:

Diese Event Id wird ausgegeben wenn, der Domänencontroller den Kerberos-Authentifizierungsversuch eines Rechners nicht versteht. Das nur Windows Vista und Windows 7 Rechner als Verursacher auftauchen liegt daran, dass mit Windows Vista AES (Advanced Encryption Standard) als Verschlüsselungsverfahren von den Clients bevorzugt wird.
Leider kennt aber der Windows 2003 Domänen-Controller dieses Verfahren noch nicht. Weil es aber einen Fallback auf das RC4-HMAC Verfahren gibt merkt der Anwender nichts davon.

Windows Systeme unterstützen die folgenden Verschlüsselungsverfahren für Kerberos:

DES-CBC-CRC (Registrycode 0×1)
DES-CBC-MD5 (Registrycode 0×3)
RC4-HMAC (Registrycode 0×17)
AES (Registrycode 0×12) Wird seit Windows Server 2008 unterstützt (d.h. auch Vista und Windows 7)

Die Standard Preauthentifizierung erfolgt bei Windows 2000, Windows Server 2003, Windows XP immer RC4-HMAC.

Die Lösung ist ein kleiner Workaround in dem man einfach dem Vista oder Windows 7 Rechner mitteilt er soll doch einfach auch die RC4-HMAC Verschlüsselung wählen. Das verhindert dann die Nutzung von AES und die Fehler sind weg, die durch den vergeblichen AES Anmeldeversuch entstehen.
Das erreicht man in dem man den Code 0×17 (siehe Aufzählung oben) für den DefaultEncryptionType einträgt. Nachfolgend der entsprechende Auszug aus der REG-Datei, die ich auf die Clients verteilt habe.

Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\Kerberos\Parameters]
"DefaultEncryptionType"=dword:00000017

Oder in anderen Worten gesagt:

Man startet Regedit an den betroffenen Clients
Man wählt den Ast HKLM\System\CurrentControlSet\Control\LSA\Kerberos\Parameters
Dort erzeugt man einen DWORD Wert mit Namen DefaultEncryptionType
In diesen Wert setzt man 0×17 (bzw. 23 dezimal) ein

Nun ist Ruhe mit diesem Fehler

Weitere Links zum Thema Kerberos hier:
http://technet.microsoft.com/en-us/library/cc738673(WS.10).aspx
http://tools.ietf.org/html/rfc4757

Copyright © 2008 Martin Richter
Dieser Feed ist nur für den persönlichen, nicht gewerblichen Gebrauch bestimmt. Eine Verwendung dieses Feeds bzw. der hier veröffentlichten Beiträge auf anderen Webseiten bedarf der ausdrücklichen Genehmigung des Autors.
(Digital Fingerprint: bdafe67664ea5aacaab71f8c0a581adf)

Themenverwandte Beiträge:

Nett: Windows 7 und sein GodMode ;)

Martin Richter — Thu, 07 Jan 2010 07:20:27 +0000

Alleine der Name macht einen ja schon neugierig…

Was verbirgt sich dahinter?
Nichts anderes als eine Explorer Ansicht, die alles aus den Systemsteuerungspanels in einer Liste anzeigt. Nett…

Wie macht man das?

Man legt auf dem Desktop (oder sonst wo) ein neues Verzeichnis an.
Dieses Verzeichnis benennt man dann um in GodMode.{ED7BA470-8E54-465E-825C-99712043E01C}
Wobei der Name vor dem Punkt keine Rolle spielt. Es geht nur um die Extension und die GUID.
Fertig! Das Symbol verändert sich dann auf das Symbol der Systemsteuerung.

Gefunden in: Understanding Windows 7’s ‘GodMode’

Nachtrag 1: Das Ganze geht sogar unter Vista 32bit!
Nachtrag 2: Es gibt Meldungen, dass dieser Link auf dem Desktop eines Vista 64bit Systems den Explorer zum Absturz bringt!
Evtl. sollte man den Ordner testweise in diesem Fall erstmal in einem Unterordner anlegen.
Nachtrag 3: Auch Kay Giza berichtete ausführlich über diesen Modus, ich hatte dies allerdings übersehen.
http://www.giza-blog.de/Windows7VistaErweiterteSystemsteuerungAktivierenED7BA4708E54465E825C99712043E01C.aspx

Themenverwandte Beiträge:

Installation älterer Software auf Windows-Vista oder Windows 7

Martin Richter — Sun, 13 Dec 2009 20:58:45 +0000

Jetzt wo sich Windows 7 langsam immer weiter verbreitet werden manche Benutzer feststellen, dass Windows 7 so viel anders als Vista nicht ist.
Insbesondere wenn es um Probleme mit älterer Software geht.
Ja es gibt den XP-Modus unter Windows 7, aber manchmal geht es eben doch mit ein paar Tricks und man die Software richtig installieren ohne XP-Mode-Overhead.

Ich habe die Erfahrung gemacht, dass die Virtualisierung durch UAC einiges leistet und dafür sorgt das einiges an Software unter Vista und Windows 7 laufen kann.
Ansonsten kann man manchmal nachhelfen, wenn man dem Programmen auf die entsprechenden Ordner in Program Files und HKLM in der Registry die Rechte für einen normalen Benutzer auf Vollzugriff setzt.
Ich mache dies nur für die Teiläste dieses Programmes, insofern kein allzu großes Sicherheitsrisiko, aber es wirkt oft Wunder. Unter XP habe ich damit ältere Siedler Versionen zum Laufen gebracht ohne das man Administrator sein musste

Leider gibt es aber auch Fälle in denen die Software schon die Installation verweigert. Auch hier kann man manchmal auf einem XP Rechner installieren und dann die Software kopieren.
Aber es gibt auch hier Tricks, wenn einfach nur die Versionnummer falsch geprüft wird (was leider ziemlich oft passiert).

In meinem Beispiel war es RC-WinTrans, dass die Installation schon unter Vista verweigert hat.
Ein Blick mit Orcas in die MSI Datei zeugt eine falsche Versionsprüfung:

Unschwer zu erkennen, dass hier explizit auf die unterstützten Versionen geprüft wird und die Version 6.x für Vista und Windows 7 eben nicht durch diesen Test abgedeckt sind.

Mit Orcas ist das schnell geändert:

Und siehe da. Nicht nur die Installation läuft einfach und glatt.
Die ganze Software arbeitet perfekt unter Vista und Windows 7.

BTW: Wenn man eine EXE hat, die die Installation ausführt, dann kann man versuchen über den Karteireiter Eigenschaften der EXE Datei, den Kompatibilitätsmodus auf Windows XP SP2/SP3 zu setzen. Auch dann gelingt einem oft die Installation selbst wenn eine falsche Versionsnummer intern im Setup geprüft wird.

Themenverwandte Beiträge:

Mist – Festplatte hinüber…

Martin Richter — Thu, 10 Dec 2009 20:32:48 +0000

Ein Sch…tag.

Heute morgen komme ich in die Firma und schalte meinen Fujitsu-Siemens Quad-Core Desktop ein. Dann gehe ich in die Büroküche und setze Wasser für meinen Tee auf. Wenn ich damit fertig bin, erwartet mich normalerweise der Anmeldebildschirm von Windows.
Heute Nix. Schwarzer Bildschirm.

Um es kurz zu machen: Die Seagate Baracuda hat Ihren Geist aufgegeben. Nicht mal 1 Jahr hat sie es gemacht. Am 18.12.2008 wurde der Rechner gekauft, am 10.12.2009 Platte kaputt!
Da ich noch eine absolut baugleiche Festplatte in dem Desktop meines Kollegen hatte, habe ich sogar versucht die Elektronik alleine zu tauschen. Hätte ja sein können, dass nur nur die einen Hau hat. Nix!

Zum Glück habe ich Alles, was die Entwicklung betrifft in meinem TFS. Und von meinen aktuellen wichtigen, Arbeitsverzeichnissen ein Backup mit Acronis, das mal gerade 3 Arbeitstage zurück liegt. Ausgecheckt waren drei Dateien.
Nur mit dem Vollimage meines Rechners habe ich in der letzten Zeit geschlampt. Das liegt leider fast 2 Monate zurück und war direkt vor meinem Update von Vista auf Windows 7.
Das nächste volle Backup hatte ich jetzt fest für das Wochenende geplant. Leider zählt die Absicht nicht!

Verloren habe ich einige interessante Testprogramme, die ich nicht im TFS und auf keinem Backup, Stick oder SD-Karte hatte und einige Downloads die ich in den letzten Wochen gemacht hatte und die noch zu archivieren waren. Und natürlich die Zeit um den Rechner wieder mit allen wichtigen Werkzeugen auszustatten.
Ärgerlich…

Was lernt man daraus: Mit Backups darf man nicht warten
Das ist in 30 Jahren der erste Crash, der mich ärgert. Sonst mache ich in der Firma und auf meinem privaten PC mit Acronis Trueimage grundsätzlich zum Wochenende hin ein Backup (1 Vollbackup dann 4 Wochen inkrementell).

Themenverwandte Beiträge:

Schreck lass nach: Microsoft Office Outlook kann nicht gestartet werden. Das Outlook-Fenster kann nicht geöffnet werden.

Martin Richter — Sat, 07 Nov 2009 15:26:39 +0000

Heute morgen – noch im Schlafanzug – werfe ich meinen Rechner an.

Als erstes Outlook starten um die Emails zu kontrollieren und weil ich noch einige Aufgaben nachsehen wollte.
Und was sehen meine noch müden Augen

Microsoft Office Outlook kann nicht gestartet werden. Das Outlook-Fenster kann nicht geöffnet werden.

OK. Ruhe bewahren!
Outlook mit Safemode starten. Auch nix.
Also Google fragen.

Schnell werde ich fündig, die gescheiteste Anleitung mit etwas Hintergrund war hier zu finden:
http://www.outlook-stuff.com/lang-de/tipps-und-tricks/problemloesungen/729-microsoft-office-outlook-kann-nicht-gestartet-werden.html
Bei anderen wurde einfach nur gesagt: Neues Profil anlegen. Aber hier steht wenigstens die Info, dass es an einer XML-Datei liegt, die so heißt wie mein Profil!

Ich schau in mein Verzeichnis C:\Users\Martin\AppData\Roaming\Microsoft\Outlook dort finde ich eine Standard.xml Datei. Standard war der Profilname, den ich verwendet habe.
Die Datei hat eineGröße von 0 Bytes Das sieht falsch aus für eine XML-Datei.

Na! Warum also löschen und neu anlegen, ich verfüge doch über eine Datensicherung de ich regelmäßig mit Acronis True Image 2010 durchführe! Also werfe ich meine USB Platte an. Doppelklicke einfach meine TIB-Datei, navigiere in das Verzeichnis im Backup. Einfach Copy & Paste der Datei direkt aus dem Backup. Ja, einfach so ganz ohne Restore, als ob es eine ZIP-Datei ist. Acronis True Image ist geil.

Outllook neu starten und siehe, alles ist wieder gut

Es geht doch nichts über eine Datensicherung
BTW: Sagte ich es schon? Acronis True Image ist geil?

Nachtrag vom 16. November 2009:
In einem Kommentar von Dave vom 15.11. wurde geraten Outllook mit der Option /resetnavpane zu starten. Also über Start -> Ausführen folgendes eingeben:

\outlook.exe /resetnavpane

Wieder Andere hatten Erfolg damit, die XML-Datei mit dem Profilnamen einfach zu löschen!

Da andere Leser meines Blogs das Problem auf diese Weisen beheben konnten, nehme ich diesen Hinweis nachträglich direkt in diesen Artikel auf. Denn nicht alle haben ein Backup wie ich
- Danke liebe Kommentatoren!!!

Themenverwandte Beiträge:

Nach Windows 7 Upgrade einige GB an Plattenplatz freigeben

Martin Richter — Sun, 01 Nov 2009 18:48:02 +0000

Nachdem ich vor einigen Tagen ein Update auf meinen Vista Rechner auf Windows 7 durchgeführt habe, sind mir zwei versteckte Ordner im Rootverzeichnis auf meiner Festplatte aufgefallen, die nicht klein sind.

Durch eingeschränkte Rechte hat man normalerweise keinen Zugriff, aber wenn man eine elevated Session mit dem Explorer startet kann man herausbekommen was sie beinhalten:

$WINDOWS.~Q    2200 MB (2.364.075.683 Bytes)
$INPLACE.~TR    471 MB (  494.284.806 Bytes)

Die Dateien in diesem Ordner schienen auf den ersten Blick irgendwas mit dem Update zu tun zu haben.

Der erste Schritt: Mal in der Systemsteuerung nachsehen ob man dort etwas deinstallieren kann. Nada.
Zweiter Blick: Starten der Datenrägerbereinigung. Auch nichts auffälliges.
Dritter Versuch: Starten der Datenträgerbereinigung als Administrator. Bingo

Siehe da:

Zwei Dateigruppen finden sich:
Beim Window-Upgrade verworfene Dateien – und -
Protokolldateien für Windows-Upgrades

Anhaken und Schwupps sind 3GB mehr Plattenplatz da…

Themenverwandte Beiträge:

Upgrade meines privaten Desktop PCs auf Windows 7

Martin Richter — Sat, 10 Oct 2009 21:00:57 +0000

Meinen neuen Samsung Laptop, den ich vor ca. 2 Monaten gekauft habe, wurde gleich platt gemacht und mit Windows 7 versehen.
Ich musste nicht einen Treiber nachinstallieren. Alles hat Windows 7 selber erkannt und es lief alles weitaus glatter als erwartet.

Heute habe ich den Mut gefasst und meinen privaten Desktop PC von Vista Ultimate 32bit auf Windows 7 Ultimate upzugraden. Kurz zuvor hatte ich mit meinem schönen Acronis Home 2010 noch ein Backup gemacht. Ohne würde ich es nicht wagen.
Und zuvor habe ich natürlich mit dem Upgrade Advisor geprüft ob es irgendwelche Probleme eben wird, dem war nicht so.
Zu einer Neuinstallation fehlt mir einfach die Muße, bis alles wieder läuft würden Stunden vergehen. Also wage ich das Upgrade!

Kurz vor dem Länderspiel um 17:00 habe ich das Setup gestartet, um ca. 21:45 war das Upgrade durch.

Gleich zu Anfang beschwerte sich das Setup über drei Programme:

Adobe Reader 7 (der definitiv nicht auf meiner Maschine war)
iTunes (mit dem ich die Musik für meinen IPod verwalte)
VMWare (mein ultimatives Testtool)
Cannon-EasyLayout Print (gehört zu meinem Drucker)

Windows 7 Update hatte mir empfohlen die Programme zu deinstallieren. Ich habe die Hinweise einfach ignoriert, denn alle drei Programm sind für mich nicht lebenswichtig und lassen sich nachinstallieren.

Da ich einige sehr große Dateien auf dem Rechner habe (ISO-Images etc.) hatte ich manchmal zwischendrin ganz schön Bammel ob das Setup durchläuft. Zwischendrin blieb die Prozentzahl der Fortschrittanzeige ziemlich oft und lange auf einem Wert stehen (10 Minuten lang).

Irgendwann war es so weit und ich konnte mich anmelden und … Spannung
Keine Probleme. Alles läuft auf Anhieb
Alle Treiber, alle Geräte inklusive WLAN, WebCam, SD-Kartenleser, Videokarte usw. sind sofort betriebsbereit.
Gleiches gilt für alle Software, Acronis 2010 Home, ESET Antivirus, Office etc.

Erster Eindruck:

Windows 7 läuft wirklich flüssiger und flinker. Eindeutig auch weniger Festplattenaktivität zu hören.
Grundsätzlicher Hauptspeicher Bedarf etwa 8% weniger als unter Vista zuvor. Windows 7 will 44% meines Speichers gleich nach dem Start, Vista wollte 52%.
Das Upgrade von Vista auf Windows 7 ist vollkommen schmerzfrei. Alles wurde 1a übernommen.
Sich mit dem Windows 7 Heimnetzwerk anzufreunden macht Spaß!

Ich kann ein Update nur empfehlen

Themenverwandte Beiträge:

Da installiert man 64bit und schon fängt man an sich zu ärgern…

Martin Richter — Sat, 22 Aug 2009 16:34:55 +0000

Ich hatte es befürchtet. Bisher bin ich mit allen meinen privaten PCs bei 32bit Betriebssystemen geblieben.

Nun habe ich Windows 7 und habe mich mutig für meinen netten Samsung Laptop für ein 64bit OS entschieden. Dann kann ich meine 4GB Speicher wenigstens auch komplett nutzen.

Und jetzt fange ich schon an mich zu ärgern, denn ich benutze gerne Groove 2007 (die Ordnersynchronisation), weil es einfach praktisch ist. Aber was sehen meine Augen beim einrichten des Grove Kontos auf dem Rechner:

Groove-Dateifreigabe-Arbeitsbereiche werden in 64-Bit-Betriebssystemen nicht unterstützt.

Nicht zu fassen… Überall wird ein 64bit Hype betrieben und viele Werkzeuge funktionieren darauf nicht.
Und schon fange ich mich zu ärgern Manchmal sollte man sich vorher klug machen bei dem was man will.