Η Microsoft θέλει να απενεργοποιήσει τελικά τον έλεγχο ταυτότητας NTLM στα Windows 11

Οι διάφορες εκδόσεις των Windows χρησιμοποιούν το Kerberos ως κύριο πρωτόκολλο ελέγχου ταυτότητας για περισσότερα από 20 χρόνια. Ωστόσο, σε ορισμένες περιπτώσεις, το λειτουργικό σύστημα πρέπει να χρησιμοποιήσει

μι

α άλλη μέθοδο, το NTLM (NT LAN Manager). Σήμερα, η Microsoft ανακοίνωσε ό

τι

επεκτείνει τη χρήση του Kerberos, με το σχέδιο να καταργήσει τελικά τη χρήση του NTLM εντελώς.

Σε μια ανάρτηση στο blog

, η Microsoft δήλωσε ότι το NTLM συνεχίζει να χρησιμοποιείται από ορισμένες

επιχειρήσεις

και οργανισμούς για έλεγχο ταυτότητας των Windows επειδή “δεν απαιτεί σύνδεση τοπικού δικτύου σε έναν ελεγκτή τομέα”. Είναι επίσης “το μόνο πρωτόκολλο που υποστηρίζεται όταν χρησιμοποιείτε τοπικούς λογαριασμούς” και “λειτουργεί όταν δεν γνωρίζετε ποιος είναι ο διακομιστής-στόχος”

Η Microsoft αναφέρει:

Αυτά τα πλεονεκτήματα έχουν οδηγήσει σε ορισμένες εφαρμογές και υπηρεσίες να κωδικοποιούν τη χρήση του NTLM αντί να προσπαθούν να χρησιμοποιήσουν άλλα, πιο σύγχρονα πρωτόκολλα ελέγχου ταυτότητας όπως το Kerberos. Το Kerberos παρέχει καλύτερες εγγυήσεις ασφαλείας και είναι πιο επεκτάσιμο από το NTLM, γι’ αυτό είναι πλέον το προτιμώμενο προεπιλεγμένο πρωτόκολλο στα Windows.

Το πρόβλημα είναι ότι ενώ οι επιχειρήσεις μπορούν να απενεργοποιήσουν το NTLM για έλεγχο ταυτότητας, αυτές οι ενσύρματες εφαρμογές και υπηρεσίες ενδέχεται να αντιμετωπίσουν προβλήματα. Γι’ αυτό η Microsoft έχει προσθέσει δύο νέες δυνατότητες ελέγχου ταυτότητας στο Kerberos.

Το ένα είναι το Initial and Pass Through Authentication με χρήση Kerberos (IAKerb), το οποίο θα επιτρέψει σε “ένα πρόγραμμα-πελάτη χωρίς οπτική επαφή σε έναν ελεγκτή τομέα να πραγματοποιήσει έλεγχο ταυτότητας μέσω ενός διακομιστή που έχει οπτική επαφή”. Το άλλο είναι το τοπικό Κέντρο διανομής κλειδιών (KDC) για το Kerberos, το οποίο προσθέτει υποστήριξη ελέγχου ταυτότητας για τοπικούς λογαριασμούς.

Αυτές οι αλλαγές γίνονται έτσι ώστε μακροπρόθεσμα το Kerberos να είναι το μόνο πρωτόκολλο ελέγχου ταυτότητας των Windows. Η Microsoft δήλωσε:

Η μείωση της χρήσης του NTLM θα καταλήξει τελικά στην απενεργοποίησή του στα

Windows 11

. Ακολουθούμε μια προσέγγιση βάσει δεδομένων και παρακολουθούμε τις μειώσεις στη χρήση του NTLM για να καθορίσουμε πότε θα είναι ασφαλές να απενεργοποιηθεί.

Μόλις ληφθεί η απόφαση, η Microsoft θα απενεργοποιήσει πρώτα το NTLM από προεπιλογή, αλλά οι επιχειρήσεις θα μπορούν να το ενεργοποιήσουν ξανά σε περίπτωση που αντιμετωπίσουν προβλήματα συμβατότητας. Η Microsoft δεν έχει ανακοινώσει συγκεκριμένο χρονοδιάγραμμα για το πότε θα συμβούν όλα αυτά.