COM+选择Packet Privacy认证级别时使用何种加密类型？

当COM+将认证级别设置为Packet Privacy时，微软官方文档仅描述其会验证凭据并加密包含数据、发送方身份及签名的完整数据包，但未明确具体加密实现细节。针对遗留应用的安全评估需求，以下是实际的加密机制说明：

底层加密实现 #

COM+的Packet Privacy依赖Windows RPC（远程过程调用）的安全框架，加密机制绑定在身份验证协议中：

• NTLM认证场景：
  • Windows Vista及更早版本默认使用RC4加密
  • Windows 7及后续系统已替换为AES加密
• Kerberos认证场景：
  • 优先使用Kerberos协议支持的强加密套件，包括AES-128、AES-256
  • 旧系统可能兼容DES/3DES，但这类套件已被标记为不安全

注意：COM+不直接使用DPAPI或独立TLS会话，所有数据包加密由RPC运行时基于所选身份验证协议自动处理。

安全评估建议 #

• 若遗留应用运行在Windows 7及以上系统，且配置为Kerberos认证+AES套件，加密强度符合现代企业安全标准
• 若系统仍在使用NTLM+RC4或Kerberos+DES/3DES，存在明文泄露或被破解的风险，建议：
  • 升级到支持AES加密的Windows版本
  • 配置COM+强制使用Kerberos认证
  • 禁用系统中的弱密码套件

内容的提问来源于stack exchange，提问作者Tamás Somogyi