Gestire le modifiche a NTLMv1 ed evitare problemi di rete in Windows 11 e Windows Server 2025

Si applica a
Windows 11 version 26H2, all editions Windows 11 version 25H2, all editions Windows 11 version 24H2, all editions Windows Server 2025

Nota

  • Data di pubblicazione originale: 29 agosto 2025
  • ID KB: 5066470

Introduzione

Questo articolo descrive in dettaglio le modifiche in Windows 11, versioni 26H2, 25H2 e 24H2 e Windows Server 2025, concentrandosi sul controllo e l'applicazione del blocco della crittografia derivata da NTLMv1. Queste modifiche fanno parte della più ampia iniziativa di Microsoft per l'eliminazione graduale di NTLM.

L'aggiornamento della sicurezza di Windows di ottobre 2026 introduce una modifica che rafforza la sicurezza NTLMv1 modificando il comportamento predefinito interno quando il valore del registro di sistema BlockNtlmv1SSO non è impostato. Con questa modifica, Windows usa la modalità Applica (1) invece della modalità di controllo (0). Questa modifica si applica solo ai dispositivi in cui Credential Guard è disabilitato e il valore del Registro di sistema BlockNtlmv1SSO non è impostato e potrebbe influire sulle connessioni Wi-Fi, Ethernet e VPN che usano l'autenticazione basata su MS-CHAPv2.

Contesto

Microsoft ha rimosso il protocollo NTLMv1 (vedere Caratteristiche e funzionalità rimosse) da Windows 11, versione 24H2 e Windows Server 2025 e versioni successive. Tuttavia, anche se il protocollo NTLMv1 viene rimosso, i resti della crittografia NTLMv1 sono ancora presenti in alcuni scenari, ad esempio quando si usano connessioni basate su MS-CHAPv2, tra cui PEAP-MSCHAPv2 e EAP-MSCHAPv2, in un ambiente aggiunto a un dominio.

A partire dagli aggiornamenti di Windows rilasciati ad agosto 2025, la modalità Audit è stata introdotta per aiutare gli amministratori a identificare le dipendenze dalle credenziali derivate da NTLMv1 prima dell'imposizione.

Credential Guard offre una protezione completa sia della crittografia legacy NTLMv1 che di molte altre superfici di attacco, pertanto Microsoft consiglia vivamente la sua distribuzione e abilitazione se i requisiti di Credential Guard sono soddisfatti. Le modifiche descritte in questo articolo riguardano solo i dispositivi in cui Credential Guard è disabilitato; se Windows Credential Guard è abilitato nel dispositivo, queste modifiche non hanno effetto.

Obiettivo

Con la deprecazione di NTLM (vedere Funzionalità deprecate) e la rimozione del protocollo NTLMv1, Microsoft sta lavorando per finalizzare la disabilitazione di NTLMv1 bloccando l'uso delle credenziali derivate da NTLMv1.

Modifiche

Comportamento prima dell'installazione dell'aggiornamento della sicurezza di Windows di ottobre 2026: Prima di installare l'aggiornamento della sicurezza di Windows di ottobre 2026, rilasciato il 13 ottobre 2026, quando il valore del Registro di sistema BlockNtlmv1SSO non è impostato, Windows usa la modalità di controllo (0). Le richieste di utilizzo delle credenziali derivate da NTLMv1 per Single Sign-On vengono controllate ma consentite e vengono generati eventi di avviso.

Comportamento dopo l'installazione dell'aggiornamento della sicurezza di Windows di ottobre 2026: Dopo l'installazione dell'aggiornamento di sicurezza di Windows di ottobre 2026, rilasciato il 13 ottobre 2026, quando il valore del registro di sistema BlockNtlmv1SSO non è impostato; Windows usa la modalità Applica (1) invece della modalità Audit (0). L'aggiornamento non crea né modifica il valore del Registro di sistema. In modalità Enforce le richieste di utilizzo delle credenziali derivate da NTLMv1 per Single Sign-On sono bloccate.

Per una sequenza temporale di queste modifiche, vedere la sezione Implementazione delle modifiche.

Nuova chiave del Registro di sistema

Gli aggiornamenti di Windows rilasciati ad agosto 2025 hanno introdotto una nuova chiave del Registro di sistema, BlockNtlmv1SSO, che controlla se le modifiche operano in modalità Audit o Impone .

Nota: Gli amministratori possono configurare BlockNtlmv1SSO prima o dopo l'installazione dell'aggiornamento della sicurezza di Windows di ottobre 2026.

Posizione del Registro di sistema HKEY_LOCAL_MACHINE\SYSTEM\currentcontrolset\control\lsa\msv1_0
valore BlockNtlmv1SSO
Tipo REG_DWORD
Dati
  • - 0 La richiesta di generazione delle credenziali NTLMv1 per un utente connesso viene controllata, ma può avere esito positivo. Vengono generati eventi di avviso. Questa impostazione è anche chiamata modalità Audit.
  • - 1 La richiesta di generazione delle credenziali NTLMv1 per un utente connesso è bloccata. Vengono generati eventi di errore. Questa impostazione è anche chiamata modalità Applica.
Riavvio Non è necessario riavviare il dispositivo dopo aver modificato l'oggetto BlockNtlmv1SSO.

A partire dall'aggiornamento della sicurezza di Windows di ottobre 2026 rilasciato il 13 ottobre 2026, la modalità Applica (1) diventa il comportamento predefinito interno sui dispositivi idonei quando il valore del Registro di sistema BlockNTLMv1SSO non è impostato.

Si noti che la modifica del comportamento predefinito non crea o modifica il valore del Registro di sistema, che a sua volta rimane assente.

Nuove funzionalità di controllo

  • Quando si usa la modalità Audit

    Registro eventi Microsoft-Windows-NTLM/Operativo
    Tipo di evento Avviso
    Origine evento NTLM
    ID evento 4024
    Testo dell'evento Controllo di un tentativo di usare le credenziali derivate da NTLMv1 per Single Sign-On
    Server di destinazione: <domain_name>
    Utente fornito: <user_name>
    Dominio fornito: <domain_name>
    PID del processo client: <process_identifier>
    Nome del processo client: <process_name>
    LUID del processo client: <locally_unique_identifier>
    Identità utente del processo client: <user_name>
    Nome di dominio dell'identità dell'utente del processo client: <domain_name>
    OID meccanismo: <object_identifier>
    Per ulteriori informazioni, vedere https://go.microsoft.com/fwlink/?linkid=2321802.

  • Quando si usa la modalità Applica

    Registro eventi Microsoft-Windows-NTLM/Operativo
    Tipo di evento Errore
    Origine evento NTLM
    ID evento 4025
    Testo dell'evento Il tentativo di usare le credenziali derivate da NTLMv1 per Single Sign-On è stato bloccato a causa dei criteri.
    Server di destinazione: <domain_name>
    Utente fornito: <user_name>
    Dominio fornito: <domain_name>
    PID del processo client: <process_identifier>
    Nome del processo client: <process_name>
    LUID del processo client: <locally_unique_identifier>
    Identità utente del processo client: <user_name>
    Nome di dominio dell'identità dell'utente del processo client: <domain_name>
    OID meccanismo: <object_identifier>
    Per ulteriori informazioni, vedere https://go.microsoft.com/fwlink/?linkid=2321802.

Per altre informazioni su altri miglioramenti del controllo, vedere Panoramica dei miglioramenti del controllo NTLM in Windows 11, versione 24H2 e Windows Server 2025.

Implementazione delle modifiche

Negli aggiornamenti di settembre 2025 e successivi, le modifiche sono state implementate in Windows 11, versione 24H2 e successive in modalità Audit. In questa modalità, l'ID evento: 4024 è stato registrato ogni volta che sono state usate credenziali derivate da NTLMv1, ma l'autenticazione ha continuato a funzionare. L'implementazione ha raggiunto Windows Server 2025 più tardi nel 2025.

A partire dall'aggiornamento della sicurezza di Windows di ottobre 2026, rilasciato il 13 ottobre 2026, Microsoft rafforza la sicurezza NTLMv1 modificando il comportamento predefinito interno quando il valore del Registro di sistema BlockNtlmv1SSO non è impostato. Windows usa la modalità Applica (1) invece della modalità Audit (0).

In modalità Enforce le richieste di generazione di credenziali derivate da NTLMv1 per Single Sign-On vengono bloccate e non solo controllate.

Questa modifica potrebbe influire sugli ambienti che si basano ancora sulle credenziali derivate da NTLMv1 per Single Sign-On, incluse alcune configurazioni di autenticazione Wi-Fi, Ethernet e VPN che usano MS-CHAPv2.

Sequenza temporale

Data Modifica
Fine agosto 2025 Log di controllo per l'utilizzo di NTLMv1 abilitati in Windows 11, versione 24H2 e client più recenti.
Novembre 2025 Iniziare l'implementazione delle modifiche a Windows Server 2025.
Ottobre 2026 L'aggiornamento della sicurezza di Windows di ottobre 2026 modifica il comportamento predefinito quando il valore del Registro di sistema BlockNtlmv1SSO non è impostato. Se il valore è assente, Windows usa la modalità Applica (1) invece della modalità Audit (0), senza creare o modificare il valore del Registro di sistema, che rimane assente. In modalità Enforce l'uso delle credenziali derivate da NTLMv1 per Single Sign-On è bloccato.

Preparazione per la modalità di applicazione

Usare gli eventi della modalità di controllo descritti in questo articolo per identificare i flussi di autenticazione che dipendono da credenziali derivate da NTLMv1 prima di distribuire la modifica su larga scala. Gli ambienti che usano MS-CHAPv2 Sign-On singola per l'autenticazione Wi-Fi, Ethernet o VPN devono essere valutati per le potenziali dipendenze.

Eccezione temporanea di sicurezza

Se un'organizzazione identifica una dipendenza di autenticazione critica di cui non è possibile eseguire immediatamente la migrazione, l'impostazione di BlockNTLMv1SSO su 0 (controllo) consente temporaneamente le credenziali di Sign-On singola derivate da NTLMv1 durante il completamento della correzione.

Importante: L'uso della modalità di controllo riduce la protezione fornita dalla modalità di applicazione e deve essere considerato solo come un'eccezione di sicurezza temporanea e con ambito.

Domande frequenti (FAQ)

D1: Perché c'è una differenza tra quando client e server ricevono le modifiche?

Microsoft usa un metodo di implementazione graduale per distribuire un aggiornamento di rilascio in un periodo di tempo, anziché tutto in una volta. Ciò significa che gli utenti ricevono gli aggiornamenti in momenti diversi e potrebbero non essere immediatamente disponibili per tutti gli utenti.

D2: Dove vengono utilizzate le credenziali derivate da NTLMv1?

Le credenziali derivate da NTLMv1 vengono usate da alcuni protocolli di livello superiore per scopi di Sign-On singolo; Gli esempi includono implementazioni Wi-Fi, Ethernet e VPN che usano l'autenticazione basata su MS-CHAPv2, inclusi PEAP-MSCHAPv2 e EAP-MSCHAPv2. In modalità Applica vengono bloccati i flussi a Sign-On singola che dipendono da credenziali derivate da NTLMv1. L'immissione manuale delle credenziali continuerà a funzionare in modalità di imposizione. Per altre informazioni e procedure consigliate, vedere Considerazioni e problemi noti quando si usa Credential Guard.

D3: Esistono altre analogie tra questo aggiornamento e Credential Guard?

L'unica somiglianza tra questo aggiornamento e Credential Guard è la protezione delle credenziali utente dalla crittografia derivata da NTLMv1. Questo aggiornamento non fornisce la protezione ampia e solida di Credential Guard; Microsoft consiglia l'abilitazione di Credential Guard in tutte le piattaforme supportate.

Questo articolo verrà aggiornato se saranno disponibili altre indicazioni.

Riferimenti

Registro delle modifiche
Data Modifica
14 ottobre 2026 Sono state apportate modifiche all'articolo per riflettere le ultime modifiche al disciplinare concluse a ottobre 2026 ed evidenziare l'impatto sulle distribuzioni di Wi-Fi, Ethernet e VPN che usano l'autenticazione basata su MS-CHAPv2.