Microsoft is van plan NTLM-authenticatie uit te schakelen in Windows 11

Microsoft heeft aangekondigd dat het NTLM-authenticatieprotocol zal worden uitgeschakeld in Windows 11. In plaats daarvan wordt Kerberos vervangen, wat momenteel het standaard authenticatieprotocol is in Windows-versies boven Windows 2000.

NTLM, wat staat voor New Technology LAN Manager, is een reeks protocollen die worden gebruikt voor het authenticeren van externe gebruikers en het bieden van sessiebeveiliging. Het is vaak uitgebuit door aanvallers bij relay-aanvallen. Bij deze aanvallen zijn kwetsbare netwerkapparaten betrokken, waaronder domeincontrollers, die zich authenticeren op servers die door de aanvallers worden beheerd. Door deze aanvallen kunnen de aanvallers hun privileges escaleren en volledige controle krijgen over een Windows-domein. NTLM is nog steeds aanwezig op Windows-servers en aanvallers kunnen misbruik maken van kwetsbaarheden zoals ShadowCoerce, DFSCoerce, PetitPotam en RemotePotato0, die zijn ontworpen om de beveiliging tegen relais te omzeilen aanvallen. Bovendien maakt NTLM hash-transmissieaanvallen mogelijk, waardoor aanvallers zichzelf kunnen authenticeren als een gecompromitteerde gebruiker en toegang kunnen krijgen tot gevoelige gegevens.

Om deze risico's te beperken adviseert Microsoft Windows-beheerders om NTLM uit te schakelen of hun servers te configureren om NTLM-relay-aanvallen te blokkeren met behulp van Active Directory Certificate Services.

Momenteel werkt Microsoft aan twee nieuwe functies gerelateerd aan Kerberos. De eerste functie, IAKerb (initiële en end-to-end authenticatie met behulp van Kerberos), stelt Windows in staat Kerberos te verzenden berichten tussen externe lokale computers zonder de noodzaak van aanvullende bedrijfsservices zoals DNS, netlogon of DCLocator. De tweede functie omvat een lokaal Key Distribution Center (KDC) voor Kerberos, dat Kerberos-ondersteuning uitbreidt naar lokale accounts.

Bovendien is Microsoft van plan de NTLM-controles te verbeteren, waardoor beheerders meer flexibiliteit krijgen om het gebruik van NTLM in hun omgevingen te controleren en te beperken.

Al deze wijzigingen worden standaard ingeschakeld en vereisen voor de meeste scenario's geen configuratie verklaard door het bedrijf. NTLM zal nog steeds beschikbaar zijn als reserveoptie om de compatibiliteit met bestaande systemen te behouden.