微軟開始在 Windows 中停用 NTLM 驗證

20 多年來，各種版本的 Windows 都使用 Kerberos 作為其主要的身份驗證協定。但是，在某些情況下，作業系統必須使用其他方法，例如 NTLM（NT LAN 管理員）。

NTLM 是一種較舊的 Microsoft 驗證協議，在 Windows 2000 中已被 Kerberos 取代。但是，NTLM 仍用於在本機或 Active Directory 網域控制站中的 NTDS.dit 檔案中儲存 Windows 密碼。 NTLM 目前被認為是不安全的，並且包含許多嚴重的安全漏洞。

早在去年 10 月，微軟就正式宣布該公司計劃擴大 Kerberos 的使用，最終目標是徹底消除 Windows 上 NTLM 的使用，具體從 Windows 11 及更高版本開始。

該公司在其官方網站上發布了即將棄用的 Windows 功能更新列表的信息，其中現在包括 NTLM（新技術區域網路管理器）。本通知涵蓋 NTLM 的所有版本，包括 LANMAN、NTLMv1 和 NTLMv2。

今年 6 月，微軟確認計劃在 Windows 11 24H2 和 Windows Server 2025 之後停止對 NTLM 的支持，因此該功能將不再適用於未來版本的 Windows 用戶端和伺服器。

今天，微軟開始在 Windows 11 24H2 和 Windows Server 2025 上刪除 NTLM，宣布已從上述 Windows 版本中移除 NTLMv1。

微軟先前解釋稱，此舉是為了增強身份驗證的安全性，因為 Kerberos 等更現代的協定能夠提供更好的保護。該公司現在建議使用協商協議來確保僅在 Kerberos 不可用時使用 NTLM。

微軟已更新其支援終止功能頁面上的通知，內容如下：

所有版本的 NTLM（包括 LANMAN、NTLMv1 和 NTLMv2）都不再處於積極的功能開發並且已被棄用。在 Windows Server 的下一個版本和 Windows 的下一個年度版本中將繼續保持使用 NTLM。對 NTLM 的調用應該替換為 Negotiate 的調用，後者將嘗試使用 Kerberos 進行身份驗證，並且僅在必要時回退到 NTLM。

[更新 - 2024 年 11 月]：從 Windows 11 版本 24H2 和 Windows Server 20205 開始，NTLMv1 已被刪除。

NTLM 通常被企業和組織用於 Windows 驗證，因為該協定「不需要與網域控制站的本機網路連線」。它也是“使用本機帳戶時唯一支援的協定”並且“即使您不知道目標伺服器是什麼也能工作”。

這些好處導致一些應用程式和服務硬編碼繼續使用 NTLM，而不是切換到更現代的身份驗證協定（如 Kerberos）。 Kerberos 提供比 NTLM 更好的安全性且更具可擴充性。這就是為什麼 Kerberos 現在是 Windows 環境中首選的預設協定。

問題在於，雖然企業可以關閉 NTLM 進行身份驗證，但那些硬連線的應用程式和服務仍然存在問題。這就是為什麼微軟為 Kerberos 新增了許多新的身份驗證功能。這些變更正在推行，以便從長遠來看，Kerberos 將成為唯一的 Windows 驗證協定。

除了 NTLMv1 之外，Windows 11 24H2 上還刪除了另一個安全功能。微軟已確認 Windows 資訊保護 (WIP) 或企業資料保護 (EDP) 正在從 Windows 環境中刪除。此功能旨在防止意外資料外洩。