Microsoft постепенно отказывается от NTLM в пользу Kerberos для более строгой аутентификации

14 октября 2023 г.отдел новостейАутентификация/безопасность конечных точек

Microsoft объявила об этом Планы Чтобы удалить NT LAN Manager (НТЛМ) в Windows 11 в будущем, поскольку он ориентирован на альтернативные методы аутентификации и повышенную безопасность.

«Основное внимание уделяется усовершенствованию протокола аутентификации Kerberos, который используется по умолчанию с 2000 года, и уменьшению зависимости от NT LAN Manager (NTLM)», — заявил технический гигант. «Новые функции Windows 11 включают необработанную аутентификацию, сквозную аутентификацию с использованием Kerberos (IAKerb) и локальный центр распространения ключей (Центры по контролю и профилактике заболеваний США) для Kerberos».

IAKerb позволяет клиентам проходить аутентификацию с помощью Kerberos в различных сетевых топологиях. Вторая функция — Local Key Distribution Center (KDC) Kerberos — расширяет поддержку Kerberos для локальных учетных записей.

NTLM был впервые представлен в 1990-х годах. Набор протоколов безопасности Он направлен на обеспечение аутентификации, целостности и конфиденциальности пользователей. Это инструмент единого входа (SSO), основанный на протоколе запроса-ответа, который доказывает серверу или контроллеру домена, что пользователь знает пароль, связанный с учетной записью.

С момента выпуска Windows 2000 он был заменен другим протоколом аутентификации под названием Kerberos, хотя NTLM продолжает использоваться в качестве резервного механизма.

«Основное различие между NTLM и Kerberos заключается в том, как эти два протокола управляют аутентификацией. NTLM полагается на трехстороннее рукопожатие между клиентом и сервером для аутентификации пользователя», — CrowdStrike. Примечания. «Kerberos использует двухэтапный процесс, в котором используется служба выдачи билетов или центр распространения ключей».

Еще одно важное отличие состоит в том, что, хотя NTLM полагается на хеширование паролей, Kerberos использует шифрование.

Кроме НТЛМ Скрытые уязвимости безопасности,Технология стала уязвимой для ретрансляционных атак, что может позволить злоумышленникам Перехват попыток аутентификации и заработать Несанкционированный вход для сетевых ресурсов.

Microsoft заявила, что также работает над устранением жестко запрограммированных экземпляров NTLM в своих компонентах в рамках подготовки к переходу к окончательному отключению NTLM в Windows 11, добавив, что она вносит улучшения, которые поощряют использование Kerberos вместо NTLM.

«Все эти изменения будут включены по умолчанию и не потребуют настройки для большинства сценариев», — сказал Мэтью Балко, директор Microsoft по управлению продуктами для предприятий и безопасности. «NTLM останется доступным в качестве альтернативы для поддержания текущей совместимости».