リモートワークやハイブリッド勤務が当たり前となった今、社内外の Windows PC を RDP で操作する機会はますます増えています。しかし「CredSSP encryption oracle remediation」というメッセージが突然現れ、接続そのものが拒否されるトラブルに直面した管理者も多いのではないでしょうか。本記事では Windows 10 22H2 から Windows 11 24H2 へリモート デスクトップ接続を試みた際に発生したエラーを題材に、原因の深掘り・回避策・恒久策・運用ベストプラクティスまでを 1 ページに集約しました。再発防止チェックリストや PowerShell スクリプト例も併載しているので、同様の症状に悩むエンジニアの参考になれば幸いです。
1. エラー全文と発生条件
An authentication error has occurred.
The function requested is not supported.
Remote computer: <ホスト名>
This could be due to CredSSP encryption oracle remediation.
上記は Windows 10/11 の RDP クライアントで共通して表示される文面です。ポイントは CredSSP（Credential Security Support Provider） という認証プロトコルのバージョン不整合が暗号化ハンドシェイクを妨げている点にあります。
1‑1 テスト環境
- 接続元：Windows 10 22H2 （ビルド 19045.4412）
- 接続先：Windows 11 24H2 （ビルド 26100.653）
- ネットワーク：社内 LAN（スタンドアロン）、TCP 3389 ポート開放済み、NLA 有効
2. 技術的背景 ‑ CredSSP と CVE‑2018‑0886
CredSSP は TLS チャネル内で NTLM または Kerberos 認証を行うための仕組みです。2018 年 5 月の月例パッチで報告された CVE‑2018‑0886 では、MITM（中間者）攻撃によりセッションハイジャックが可能になる脆弱性が判明しました。Microsoft は次の 3 段階で対策を実施しています。
| クライアント／サーバ | 状態 | ビルド例 | RDP 成否 |
|---|---|---|---|
| 未修正 | Vulnerable | KB4103721 未適用 | 接続可（脆弱） |
| 部分修正 | Mitigated | KB4103721 適用 ポリシー緩和 | 条件付き接続 |
| 完全修正 | Force Updated Clients | KB4103721 適用 ポリシー強制 | 同レベル同士のみ接続 |
今回の環境では、クライアント側が 2018 年以降に公開された累積更新プログラムを適用済み、サーバ側は Insider Preview の最新ビルドであるものの、内部的に CredSSP のポリシー既定値が「Force Updated Clients」に固定されているため、ビルドが合わないと暗号化ネゴシエーションが破綻してエラーが発生します。
3. 最速で接続を復旧させる手順（NLA 無効化）
急ぎ作業を続行したい場合は、ネットワーク レベル認証（NLA）を一時的に外すのが最も簡単です。
- Win + R →
sysdm.cplと入力し [リモート] タブを開く。 - 「ネットワーク レベル認証 (NLA) を使用して～」のチェックを外す。
- サーバ側でも同様にチェックを外す（または
REG ADD "HKLM\System\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp" /v UserAuthentication /t REG_DWORD /d 0 /f）。 - 両端末を再起動し RDP を再テスト。
3‑1 メリットとリスク
- メリット：数分で復旧し業務継続が可能。
- デメリット：資格情報を事前検証しないためブルートフォース攻撃やパスワードスプレー攻撃に弱くなる。
- VPN 越し・閉域網内のみで推奨。インターネット直公開 RDP では避けること。
4. 安全重視の恒久対策
長期的には NLA を保持したまま CredSSP のレベルを合わせることが必須です。
4‑1 Windows Update を完全適用
- クライアントとサーバ双方で Windows Update を実行し「最新の状態です」と表示されるまで再起動を繰り返す。
- ビルド番号を
winverで確認し、表 1 に示す対応表に合致しているか確認。
| OS | 最小ビルド（2025 年 6 月時点） | 確認コマンド |
|---|---|---|
| Windows 10 22H2 | 19045.4412 | ver または winver |
| Windows 11 24H2 | 26100.653 | 同上 |
4‑2 グループ ポリシーの整合
gpedit.msc→ [コンピューターの構成] → [管理用テンプレート] → [システム] → [資格情報の委任] → [暗号化オラクルの修復] を 有効 に設定。- オプションは 強制的に更新済みクライアントのみ（Force Updated Clients） を選択。
gpupdate /force後に再起動。
これでクライアント・サーバとも「完全修正済み」のみを受け入れるモードになり、MITM 攻撃対策を最大化しつつ接続が成立します。
5. ポリシー 4 段階の違いと選択基準
| モード | レジストリ値 | 接続互換性 | セキュリティ | 利用シーン |
|---|---|---|---|---|
| Disabled | 未設定 | 全クライアント許可 | 脆弱 | 緊急時のみ |
| Vulnerable | 2 | 旧クライアント許可 | やや脆弱 | 旧 OS 移行期 |
| Mitigated | 1 | 更新済みクライアントと通信 | 中 | 一時運用 |
| Force Updated Clients | 0 | 完全更新同士のみ | 高 | 本番・公開環境 |
6. トラブルシューティング チェックリスト
解決が難航する場合は次の観点を順に確認してください。
- イベントログ：接続先の
Microsoft‑Windows‑TerminalServices‑RemoteConnectionManager/Operationalを確認し、ID 1152 や ID 2049 が出ていないか。 - TLS バージョン：グループ ポリシーで TLS 1.2 を無効化していないか。古い IPSec/GPO テンプレートが残っているケースが多い。
- ファイアウォール：ネットワーク セグメント越えに IDS/IPS が挟まり TLS ハンドシェイクが改変されていないか。
- 再プロビジョニング：社外持ち出し用 PC で TPM がクリアされた場合、再度ドメイン参加して再確認。
7. 監査・セキュリティ強化のベストプラクティス
| カテゴリ | 推奨事項 | 目的 |
|---|---|---|
| ネットワーク | RDP 3389 を直接公開せず、VPN・SSH ポートフォワード・RD Gateway を介す | 盗聴・総当たり攻撃の抑止 |
| 認証 | Azure AD と Conditional Access で MFA 必須 | 資格情報漏えい対策 |
| 監査 | イベント ID 4624 / 4625 を SIEM に転送し異常試行を可視化 | 早期検知 |
| バックアップ | GPO 変更前に wbadmin start backup -systemstate | ロールバック容易化 |
8. PowerShell で自動判定するサンプル
複数台を一括診断する場合は次のスクリプトが便利です。
# Check-CredSSPLevel.ps1
$ComputerList = @("WSUS1","FS01","WIN11LAB")
foreach ($c in $ComputerList) {
try {
$reg = Invoke-Command -ComputerName $c -ScriptBlock {
Get-ItemProperty -Path "HKLM:\Software\Microsoft\Windows\CurrentVersion\Policies\System\CredSSP\Parameters" -ErrorAction SilentlyContinue
}
$level = if ($reg -ne $null) { $reg.EncryptionOracleRemediation } else { "未設定" }
Write-Output ("{0}, {1}" -f $c, $level)
} catch {
Write-Warning ("{0} へ接続できません: {1}" -f $c, $_.Exception.Message)
}
}
出力された値が 0 なら Force Updated、1 なら Mitigated、2 なら Vulnerable を意味します。未設定の場合は Disabled 同等なので要注意です。
9. FAQ
NLA を無効化したまま運用しても大丈夫？
閉域網や専用線のみで到達できるサーバならリスクは限定的ですが、社員 PC の持ち出しやクラウド統合を考慮すると早期に恒久対策へ移行すべきです。
Hyper‑V 仮想マシンでも同じポリシーが必要？
はい。ゲスト OS もホスト OS と同じく CredSSP の影響を受けます。Sysprep 済みテンプレートからデプロイする場合は事前にポリシーを含めたマスターを更新しておくと楽です。
古い Windows Server 2008 R2 との混在環境は？
脆弱性を抱えたままになる可能性が高いため、RDP GateWay を 2019 以降で構築し、TLS トンネル越しにアクセスさせるアプローチが推奨されます。
10. まとめ
- 即時復旧には NLA を外す方法が最短だが、公開環境では推奨しない。
- 恒久対策としては Windows Update と GPO を「Force Updated Clients」に統一し、CredSSP レイヤーを最新に揃えること。
- 再発防止のために event ID 監視・VPN 経由アクセス・MFA の 3 本柱を徹底しよう。
これらの手順を踏むことで、将来のアップグレードやハイブリッド環境でも「CredSSP encryption oracle remediation」エラーに悩まされない堅牢な RDP 基盤を維持できます。
コメント