Αρχική ημερομηνία δημοσίευσης: 29 Αυγούστου 2025
KB ID: 5066470
Εισαγωγή
Αυτό το άρθρο περιγράφει λεπτομερώς τις πρόσφατες και επερχόμενες αλλαγές στο Windows 11, έκδοση 24H2 και Windows Server 2025, εστιάζοντας στον έλεγχο και την ενδεχόμενη επιβολή αποκλεισμού κρυπτογράφησης που προέρχεται από NTLMv1. Αυτές οι αλλαγές αποτελούν μέρος της ευρύτερης πρωτοβουλίας της Microsoft για σταδιακή κατάργηση του NTLM.
Ιστορικό
Η Microsoft έχει καταργήσει το πρωτόκολλο NTLMv1 (ανατρέξτε στο θέμα Δυνατότητες και λειτουργίες που καταργούνται) από Windows 11, έκδοση 24H2 και Windows Server 2025 και νεότερες εκδόσεις. Ωστόσο, ενώ καταργείται το πρωτόκολλο NTLMv1, σε ορισμένα σενάρια εξακολουθούν να υπάρχουν υπολείμματα κρυπτογράφησης NTLMv1, όπως κατά τη χρήση MS-CHAPv2 σε περιβάλλον που συνδέεται με τομέα.
Το Credential Guard παρέχει πλήρη προστασία τόσο της κρυπτογράφησης παλαιού τύπου NTLMv1 όσο και πολλών άλλων επιφανειών επίθεσης και, επομένως, η Microsoft συνιστά ανεπιφύλακτα την ανάπτυξη και την ενεργοποίηση, εάν πληρούνται οι απαιτήσεις του Credential Guard. Οι επερχόμενες αλλαγές επηρεάζουν μόνο συσκευές στις οποίες είναι απενεργοποιημένο το Credential Guard. εάν το Windows Credential Guard είναι ενεργοποιημένο στη συσκευή, οι αλλαγές που περιγράφονται σε αυτό το άρθρο δεν εφαρμόζονται.
Στόχος
Με την απόσυρση του NTLM (ανατρέξτε στο θέμα Δυνατότητες που έχουν καταργηθεί) και την κατάργηση του πρωτοκόλλου NTLMv1, η Microsoft προσπαθεί να οριστικοποιήσει την απενεργοποίηση του NTLMv1 απενεργοποιώντας τα διαπιστευτήρια που προέρχονται από ntlmv1.
Επερχόμενες αλλαγές
Σε αυτήν την ενημέρωση περιλαμβάνονται δύο νέες αλλαγές, η εισαγωγή ενός νέου κλειδιού μητρώου και των νέων αρχείων καταγραφής συμβάντων. Για μια λωρίδα χρόνου με αυτές τις αλλαγές, ανατρέξτε στην ενότητα "Κυκλοφορία των αλλαγών ".
Νέο κλειδί μητρώου
Παρουσιάζεται ένα νέο κλειδί μητρώου, το οποίο καθορίζει εάν οι αλλαγές βρίσκονται σε κατάσταση λειτουργίας ελέγχου ή σε λειτουργία ενεργοποίησης.
|
Θέση μητρώου |
HKEY_LOCAL_MACHINE\SYSTEM\currentcontrolset\control\lsa\msv1_0 |
|
Τιμή |
BlockNtlmv1SSO |
|
Type |
REG_DWORD |
|
Δεδομένα |
|
Νέες δυνατότητες ελέγχου
-
Κατά τη χρήση των ρυθμίσεων ελέγχου (προεπιλογή)
Αρχείο καταγραφής συμβάντων
Microsoft-Windows-NTLM/Operational
Τύπος συμβάντος
Προειδοποίηση
Προέλευση συμβάντος
NTLM
Αναγνωριστικό συμβάντος
4024
Κείμενο συμβάντος
Έλεγχος μιας προσπάθειας χρήσης διαπιστευτηρίων που προέρχονται από NTLMv1 για την "Μονή σύνδεση" Διακομιστής προορισμού: <domain_name> Παρεχόμενος χρήστης: <user_name> Παρεχόμενος τομέας: <domain_name> PID της διαδικασίας προγράμματος-πελάτη: <process_identifier> Όνομα διεργασίας προγράμματος-πελάτη: <process_name> LUID της διαδικασίας προγράμματος-πελάτη: <locally_unique_identifier> Ταυτότητα χρήστη της διαδικασίας του προγράμματος-πελάτη: <user_name> Όνομα τομέα της ταυτότητας χρήστη της διαδικασίας προγράμματος-πελάτη: <domain_name> Μηχανισμός OID: <object_identifier> Για περισσότερες πληροφορίες, ανατρέξτε στο θέμα https://go.microsoft.com/fwlink/?linkid=2321802.
-
Κατά τη χρήση της επιλογής Επιβολή ρυθμίσεων
Αρχείο καταγραφής συμβάντων
Microsoft-Windows-NTLM/Operational
Τύπος συμβάντος
Σφάλμα
Προέλευση συμβάντος
NTLM
Αναγνωριστικό συμβάντος
4025
Κείμενο συμβάντος
Η προσπάθεια χρήσης διαπιστευτηρίων που προέρχονται από το NTLMv1 για το Single Sign-On αποκλείστηκε λόγω πολιτικής.Διακομιστής προορισμού: <domain_name> Παρεχόμενος χρήστης: <user_name> Παρεχόμενος τομέας: <domain_name> PID της διαδικασίας προγράμματος-πελάτη: <process_identifier> Όνομα διεργασίας προγράμματος-πελάτη: <process_name> LUID της διαδικασίας προγράμματος-πελάτη: <locally_unique_identifier> Ταυτότητα χρήστη της διαδικασίας του προγράμματος-πελάτη: <user_name> Όνομα τομέα της ταυτότητας χρήστη της διαδικασίας προγράμματος-πελάτη: <domain_name> Μηχανισμός OID: <object_identifier> Για περισσότερες πληροφορίες, ανατρέξτε στο θέμα https://go.microsoft.com/fwlink/?linkid=2321802.
Για περισσότερες πληροφορίες σχετικά με άλλες βελτιώσεις ελέγχου, ανατρέξτε στο θέμα Επισκόπηση βελτιώσεων ελέγχου NTLM στο Windows 11, έκδοση 24H2 και Windows Server 2025.
Κυκλοφορία των αλλαγών
Τον Σεπτέμβριο του 2025 και νεότερες ενημερώσεις, οι αλλαγές θα κυκλοφορήσουν σε Windows 11, έκδοση 24H2 και μεταγενέστερο λειτουργικό σύστημα προγράμματος-πελάτη σε λειτουργία ελέγχου. Σε αυτή τη λειτουργία, το αναγνωριστικό συμβάντος: 4024 θα καταγράφεται κάθε φορά που χρησιμοποιούνται διαπιστευτήρια που προέρχονται από NTLMv1, αλλά ο έλεγχος ταυτότητας θα συνεχίσει να λειτουργεί. Η κυκλοφορία θα φτάσει Windows Server 2025 αργότερα μέσα στο έτος.
Τον Οκτώβριο του 2026, η Microsoft θα ορίσει την προεπιλεγμένη τιμή του κλειδιού μητρώου BlockNTLMv1SSO σε 1 (Επιβολή) αντί για 0 (Έλεγχος), εάν το κλειδί μητρώου BlockNTLMv1SSO δεν έχει αναπτυχθεί στη συσκευή.
Λωρίδα χρόνου
|
Ημερομηνία |
Αλλαγή |
|
Τέλη Αυγούστου 2025 |
Αρχεία καταγραφής ελέγχου για χρήση NTLMv1 ενεργοποιημένα σε Windows 11, έκδοση 24H2 και νεότερα προγράμματα-πελάτες. |
|
Νοέμβριος 2025 |
Ξεκινήστε την κυκλοφορία των αλλαγών στο Windows Server 2025. |
|
Οκτώβριος 2026 |
Η προεπιλεγμένη τιμή του κλειδιού μητρώου BlockNtlmv1SSO αλλάζει από Λειτουργία ελέγχου (0) σε Επιβολή λειτουργίας (1) μέσω μιας μελλοντικής ενημέρωσης των Windows, ενισχύοντας τους περιορισμούς NTLMv1. Αυτή η αλλαγή στις προεπιλογές εφαρμόζεται μόνο εάν δεν έχει αναπτυχθεί το κλειδί μητρώου BlockNtlmv1SSO . |
Σημείωση Αυτές οι ημερομηνίες είναι αβέβαιοι και υπόκεινται σε αλλαγές.
Συνήθεις ερωτήσεις (Συνήθεις ερωτήσεις)
Η Microsoft χρησιμοποιεί μια μέθοδο σταδιακής κυκλοφορίας για τη διανομή μιας ενημέρωσης έκδοσης για ένα χρονικό διάστημα και όχι για όλα ταυτόχρονα. Αυτό σημαίνει ότι οι χρήστες λαμβάνουν τις ενημερώσεις σε διαφορετικές χρονικές στιγμές και ενδέχεται να μην είναι άμεσα διαθέσιμες σε όλους τους χρήστες.
Τα διαπιστευτήρια που προέρχονται από NTLMv1 χρησιμοποιούνται από ορισμένα πρωτόκολλα υψηλότερου επιπέδου για σκοπούς single Sign-On. Παραδείγματα περιλαμβάνουν αναπτύξεις Wi-Fi, Ethernet και VPN που χρησιμοποιούν MS-CHAPv2 έλεγχο ταυτότητας. Παρόμοια με την ενεργοποίηση του Credential Guard, οι ροές μίας Sign-On για αυτά τα πρωτόκολλα δεν θα λειτουργούν, αλλά η μη αυτόματη εισαγωγή διαπιστευτηρίων θα συνεχίσει να λειτουργεί ακόμη και σε λειτουργία Επιβολή . Για περισσότερες πληροφορίες και βέλτιστες πρακτικές, ανατρέξτε στο θέμα Ζητήματα και γνωστά ζητήματα κατά τη χρήση του Credential Guard.
Η μόνη ομοιότητα μεταξύ αυτής της ενημέρωσης και του Credential Guard είναι η προστασία γύρω από τα διαπιστευτήρια χρήστη από κρυπτογράφηση που προέρχεται από NTLMv1. Αυτή η ενημέρωση δεν παρέχει την ευρεία και ισχυρή προστασία του Credential Guard. Η Microsoft συνιστά την ενεργοποίηση credential guard σε όλες τις υποστηριζόμενες πλατφόρμες.
