はじめに
Microsoft は、NT LAN Manager バージョン 1 (NTLMv1) および LAN Manager (LM) ネットワーク認証に対する攻撃に使用される可能性のある詳細な情報とツールを認識しています。 コンピューターのハードウェアおよびソフトウェア アルゴリズムの改良により、これらのプロトコルは、ユーザー資格情報を取得するための公開された攻撃に対して脆弱になりました。 この情報と使用可能なツールセットは、NTLMv2 認証を強制しない環境を対象としています。 お客様には、ご自身の環境を評価し、ネットワーク認証設定を更新することを強くお勧めします。 サポートされているすべての Microsoft オペレーティング システムには、NTLMv2 認証機能が備わっています。
Microsoft Windows NT 4、Windows 2000、Windows XP、および Windows Server 2003 を実行しているシステムなど、既定の構成で影響を受けるシステムが主に危険にさらされます。 たとえば、既定では、Windows XP と Windows Server 2003 の両方が NTLMv1 認証をサポートします。
Windows NT では、ネットワーク ログオンでのチャレンジ レスポンスの認証に、LAN Manager (LM) チャレンジ レスポンスと Windows NT チャレンジ レスポンス (NTLM バージョン 1 チャレンジ レスポンスとも呼ばれる) の 2 つのオプションがサポートされています。 これらは両方により、Windows NT 4.0、Windows 95、Windows 98、および Windows 98 Second Edition のインストール済みベースとの相互運用性を実現します。
このページでこの問題を解決するには、「Fix it で解決する」セクションに進んでください。
解決策
この問題のリスクを軽減するには、Windows NT 4、Windows 2000、Windows XP、および Windows Server 2003 を実行する環境を構成して、NTLMv2 のみの使用を許可することをお勧めします。 これを行うには、 ここで説明するように、手動で LAN Manager 認証レベルを 3 以上に設定します。
Windows XP および Windows Server 2003 の場合、Microsoft Fix it ソリューションを使用して、NTLMv2 のみを使用できるようにシステムを自動的に構成できます。 この方法では、ユーザーの NTLM 設定で 認証の拡張保護も利用できます。
Fix it で問題を解決する
このセクションに記載されている Fix it ソリューションは、セキュリティ更新プログラムの代わりになるものではありません。 常に最新のセキュリティ更新プログラムをインストールすることをお勧めします。 ただし、一部のシナリオの回避策として、この Fix it ソリューションを提供しています。
Microsoft Fix it for Windows XP
この Fix it ソリューションを有効または無効にするには、[有効にする] 見出しの下にある [Fix it] ボタンまたはリンクをクリックします。 [ファイルのダウンロード] ダイアログ ボックスで [実行] をクリックし、Fix it ウィザードの手順に従います。
| Enable |
|---|
メモ
- このウィザードは英語版のみである場合があります。 しかし、自動的な解決は英語版以外の Windows でも機能します。
- 問題のあるコンピューターとは別のコンピューターを操作している場合、自動修正プログラムをフラッシュ ドライブまたは CD に保存し、問題のあるコンピューターで実行することができます。
Microsoft Fix it for Windows Server 2003
この Fix it ソリューションを有効または無効にするには、[有効にする] 見出しの下にある [Fix it] ボタンまたはリンクをクリックします。 [ファイルのダウンロード] ダイアログ ボックスで [実行] をクリックし、Fix it ウィザードの手順に従います。
| Enable |
|---|
メモ
- このウィザードは英語版のみである場合があります。 しかし、自動的な解決は英語版以外の Windows でも機能します。
- 問題のあるコンピューターとは別のコンピューターを操作している場合、自動修正プログラムをフラッシュ ドライブまたは CD に保存し、問題のあるコンピューターで実行することができます。
状態
Microsoft は、これが "適用対象" セクションに記載されている Microsoft 製品の問題であることを確認しました。
追加情報
よく寄せられる質問
Windows ネットワーク セキュリティと LAN Manager 認証レベルの脅威とその対策に関する詳細情報はありますか?
脅威とその対策の詳細については、Microsoft TechNet の 『Threats and Countermeasures Guide』を参照してください。 NTLM バージョンの構成の詳細については、「 LmCompatibilityLevel」を参照してください。
問題の原因
2000 年 1 月までは、輸出規制により、暗号化プロトコルの最大キー長が制限されていました。 LM 認証プロトコルと NTLM 認証プロトコルはどちらも 2000 年 1 月より前に開発されたため、これらの制限の対象でした。 Windows XP がリリースされたときに、Windows 2000 以前用に設計された認証環境との下位互換性を確保するように構成されていました。
構成が脆弱かどうか調査する操作方法
LMCompatibilityLevel レジストリ設定が 3 未満 (<3) に設定されている場合、この問題の影響を受けます。
既定の構成では、どの Windows オペレーティング システムが影響を受けますか?
Windows NT4、Windows 2000、Windows XP、および Windows Server 2003 はいずれも、LMCompatibilityLevel の既定の構成値は 3 未満です (<3)。
NTLMv2 を強制する場合の潜在的なリスクは何ですか?
サポートされているすべてのバージョンの Windows オペレーティング システムは、NTLMv2 をサポートしています。 Windows NT 4.0 SP6a では NTLMv2 もサポートされます。 したがって、互換性のリスクは非常に小さいです。 サードパーティのレガシ実装または構成では、相互運用性の問題を評価する必要がある場合があります。 再構成またはアップグレードすると、この問題が解決する場合があります。 お客様は、NTLMv1 を特定して段階的に廃止するようにネットワークを構成およびアップグレードするための修復手順を実行することを強くお勧めします。 NTLMv1 プロトコルの使用は、ネットワーク セキュリティに明らかな悪影響をもたらし、侵害される可能性があります。
攻撃者はこの脆弱性を使用して何を行う可能性がありますか?
攻撃者は、キャプチャされた LM および NTLM ネットワーク認証応答から認証ハッシュを抽出する可能性があります。
サポートされなくなったバージョンの Microsoft Windows で NTLMv2 を有効にする方法に関する情報はどこで入手できますか?
NTLMv2 for Windows NT、Windows 95、Windows 98、および Windows 98 Second Edition の詳細については、マイクロソフト サポート技術情報の記事 239869 に記載されています。
謝辞
Microsoft は、お客様を保護するために協力していただき、次の ことに感謝します 。
- NTLMv1 (NT LAN Manager バージョン 1) および LAN Manager (LM) ネットワーク認証に対する攻撃からお客様を保護するために協力してくれた T-Mobile USA の Mark Gamache