참고
- 원래 게시 날짜: 2025년 8월 29일
- KB ID: 5066470
소개
이 문서에서는 Windows 11, 버전 26H2, 25H2, 24H2 및 Windows Server 2025의 변경 내용에 대해 자세히 설명하며, NTLMv1 파생 암호화 차단의 감사 및 적용에 중점을 둡니다. 이러한 변경 사항은 NTLM을 단계적으로 폐지하려는 광범위한 Microsoft 이니셔티브의 일부입니다.
2026년 10월 Windows 보안 업데이트는 BlockNtlmv1SSO 레지스트리 값이 설정되지 않은 경우 내부 기본 동작을 변경하여 NTLMv1 보안을 강화하는 변경 사항을 도입합니다. 이렇게 변경하면 Windows는 감사 모드(0) 대신 적용 모드(1)를 사용합니다. 이 변경 내용은 Credential Guard 를 사용하지 않도록 설정하고 BlockNtlmv1SSO 레지스트리 값이 설정되지 않은 디바이스에만 적용되며 MS-CHAPv2 기반 인증을 사용하는 Wi-Fi, 이더넷 및 VPN 연결에 영향을 줄 수 있습니다.
배경
Microsoft는 Windows 11 버전 24H2 및 Windows Server 2025 이상 버전에서 NTLMv1 프로토콜(제거된 기능 참조)을 제거했습니다. 그러나 NTLMv1 프로토콜이 제거되는 동안 도메인 가입 환경에서 PEAP-MSCHAPv2 및 EAP-MSCHAPv2를 포함한 MS-CHAPv2 기반 연결을 사용하는 경우와 같은 일부 시나리오에는 NTLMv1 암호화의 잔여가 여전히 존재합니다.
2025년 8월에 릴리스된 Windows 업데이트부터 감사 모드는 관리자가 적용하기 전에 NTLMv1 파생 자격 증명의 종속성을 식별하는 데 도움이 되도록 도입되었습니다.
Credential Guard 는 NTLMv1 레거시 암호화와 기타 여러 공격 표면을 완벽하게 보호하므로 Microsoft는 Credential Guard의 요구 사항이 충족되는 경우 배포하고 사용하도록 설정하는 것이 좋습니다. 이 문서에 설명된 변경 내용은 Credential Guard가 비활성화된 장치에만 영향을 줍니다. 디바이스에서 Windows Credential Guard를 사용하도록 설정한 경우 이러한 변경 내용이 적용되지 않습니다.
목표
NTLM의 사용 중단( 더 이상 사용되지 않는 기능 참조) 및 NTLMv1 프로토콜의 제거와 함께 Microsoft는 NTLMv1에서 파생된 자격 증명의 사용을 차단하여 NTLMv1의 사용 중지를 마무리하기 위해 노력하고 있습니다.
변경
2026년 10월 Windows 보안 업데이트를 설치하기 전 동작: 2026년 10월 13일에 릴리스된 2026년 10월 Windows 보안 업데이트를 설치하기 전에 BlockNtlmv1SSO 레지스트리 값이 설정되지 않은 경우 Windows는 감사 모드(0)를 사용합니다. 단일 Sign-On에 NTLMv1 파생 자격 증명을 사용하는 요청은 감사되지만 허용되며 경고 이벤트가 생성됩니다.
2026년 10월 Windows 보안 업데이트를 설치한 후의 동작: 2026년 10월 13일에 릴리스된 2026년 10월 Windows 보안 업데이트를 설치한 후 BlockNtlmv1SSO 레지스트리 값이 설정되지 않은 경우; Windows는 감사 모드(0) 대신 적용 모드(1)를 사용합니다. 업데이트는 레지스트리 값을 만들거나 수정하지 않습니다. 적용 모드에서는 NTLMv1에서 파생된 자격 증명을 단일 Sign-On에 사용하려는 요청이 차단됩니다.
이러한 변경 내용의 타임라인은 변경 내용 롤아웃 섹션을 참조하세요.
새 레지스트리 키
2025년 8월에 릴리스된 Windows 업데이트에는 변경 내용이 감사 모드에서 작동하는지 또는 적용 모드에서 작동하는지 여부를 제어하는 새 레지스트리 키 BlockNtlmv1SSO가 도입되었습니다.
참고: 관리자는 2026년 10월 Windows 보안 업데이트를 설치하기 전이나 후에 BlockNtlmv1SSO 를 구성할 수 있습니다.
| 레지스트리 위치 | HKEY_LOCAL_MACHINE\SYSTEM\currentcontrolset\control\lsa\msv1_0 |
|---|---|
| Value | BlockNtlmv1SSO |
| 종류 | REG_DWORD |
| 데이터 |
|
| 다시 시작 | BlockNtlmv1SSO를 변경한 후에는 장치를 다시 시작할 필요가 없습니다. |
2026년 10월 13일에 릴리스된 2026년 10월 Windows 보안 업데이트부터 적용 모드(1)는BlockNTLMv1SSO 레지스트리 값이 설정되지 않은 경우 적격 디바이스의 내부 기본 동작이 됩니다.
기본 동작 변경은 레지스트리 값을 만들거나 수정하지 않으며 레지스트리 값은 없는 상태로 남아 있습니다.
새로운 감사 기능
감사 모드를 사용하는 경우
이벤트 로그 Microsoft-Windows-NTLM/Operational 이벤트 유형 경고 이벤트 소스 NTLM 이벤트 ID 4024 이벤트 텍스트 단일 Sign-On에 대한 NTLMv1 파생 자격 증명 사용 시도 감사
대상 서버: <domain_name>
제공된 사용자: <user_name>
제공된 도메인: <domain_name>
클라이언트 프로세스의 PID: <process_identifier>
클라이언트 프로세스 이름: <process_name>
클라이언트 프로세스의 LUID: <locally_unique_identifier>
클라이언트 프로세스의 사용자 ID: <user_name>
클라이언트 프로세스의 사용자 ID의 도메인 이름: <domain_name>
메커니즘 OID: <object_identifier>
자세한 내용은 https://go.microsoft.com/fwlink/?linkid=2321802 를 참조하세요.적용 모드를 사용하는 경우
이벤트 로그 Microsoft-Windows-NTLM/Operational 이벤트 유형 오류 이벤트 소스 NTLM 이벤트 ID 4025 이벤트 텍스트 정책 때문에 단일 Sign-On에 대해 NTLMv1 파생 자격 증명을 사용하려는 시도가 차단되었습니다.
대상 서버: <domain_name>
제공된 사용자: <user_name>
제공된 도메인: <domain_name>
클라이언트 프로세스의 PID: <process_identifier>
클라이언트 프로세스 이름: <process_name>
클라이언트 프로세스의 LUID: <locally_unique_identifier>
클라이언트 프로세스의 사용자 ID: <user_name>
클라이언트 프로세스의 사용자 ID의 도메인 이름: <domain_name>
메커니즘 OID: <object_identifier>
자세한 내용은 https://go.microsoft.com/fwlink/?linkid=2321802 를 참조하세요.
다른 감사 향상에 대한 자세한 내용은 Windows 11 버전 24H2 및 Windows Server 2025의 NTLM 감사 향상 개요를 참조하세요.
변경 내용 배포
2025년 9월 이후 업데이트에서 감사 모드의 Windows 11 버전 24H2 이상 버전에 변경 내용이 롤아웃되었습니다. 이 모드에서는 NTLMv1에서 파생된 자격 증명을 사용할 때마다 이벤트 ID: 4024 가 기록되었지만 인증은 계속 작동했습니다. 출시는 2025년 후반에 Windows Server 2025에 도달했습니다.
2026년 10월 13일에 릴리스된 2026년 10월 Windows 보안 업데이트부터 Microsoft는 BlockNtlmv1SSO 레지스트리 값이 설정되지 않은 경우 내부 기본 동작을 변경하여 NTLMv1 보안을 강화합니다. Windows는 감사 모드(0) 대신 적용 모드(1)를 사용합니다.
적용 모드에서는 단일 Sign-On에 대한 NTLMv1 파생 자격 증명 생성 요청이 감사만 받는 대신 차단됩니다.
이 변경 사항은 MS-CHAPv2를 사용하는 특정 Wi-Fi, 이더넷 및 VPN 인증 구성을 포함하여 Single Sign-On을 위해 NTLMv1 파생 자격 증명에 계속 의존하는 환경에 영향을 줄 수 있습니다.
타임라인
| 날짜 | 변경 |
|---|---|
| 2025년 8월 말 | Windows 11, 버전 24H2 이상 클라이언트에서 활성화된 NTLMv1 사용에 대한 감사 로그. |
| 2025년 11월 | Windows Server 2025에 대한 변경 사항 롤아웃을 시작합니다. |
| 2026년 10월 | 2026년 10월 Windows 보안 업데이트는 BlockNtlmv1SSO 레지스트리 값이 설정되지 않은 경우 기본 동작을 변경합니다. 값이 없으면 Windows는 레지스트리 값을 만들거나 수정하지 않고 감사 모드(0) 대신 적용 모드(1)를 사용하며, 레지스트리 값은 없는 상태로 남아 있습니다. 적용 모드에서는 단일 Sign-On에 대한 NTLMv1 파생 자격 증명의 사용이 차단됩니다. |
적용 모드 준비
이 문서에 설명된 감사 모드 이벤트를 사용하여 변경 내용을 광범위하게 배포하기 전에 NTLMv1 파생 자격 증명에 의존하는 인증 흐름을 식별합니다. Wi-Fi, 이더넷 또는 VPN 인증에 MS-CHAPv2 단일 Sign-On 사용하는 환경에서는 잠재적 종속성이 있는지 평가해야 합니다.
임시 보안 예외
organization에서 즉시 마이그레이션할 수 없는 중요한 인증 종속성을 식별한 경우 BlockNTLMv1SSO를 0(감사)으로 설정하면 수정이 완료되는 동안 일시적으로 NTLMv1에서 파생된 단일 Sign-On 자격 증명을 허용할 수 있습니다.
중요:감사 모드를 사용하면 적용 모드에서 제공하는 보호가 감소하며 범위가 지정된 임시 보안 예외로만 간주해야 합니다.
FAQ(질문과 대답)
질문 1: 클라이언트와 서버가 변경 내용을 받는 경우 사이에 차이가 있는 이유는 무엇인가요?
Microsoft는 릴리스 업데이트를 한꺼번에 배포하지 않고 일정 기간 동안 배포하는 데 점진적 롤아웃 방법을 사용합니다. 즉, 사용자가 서로 다른 시간에 업데이트를 받게 되며, 모든 사용자가 업데이트를 즉시 사용하지 못할 수 있습니다.
질문 2: NTLMv1에서 파생된 자격 증명은 어디에 사용되나요?
NTLMv1에서 파생된 자격 증명은 단일 Sign-On 목적을 위해 특정 상위 수준 프로토콜에서 사용됩니다. 예를 들어 PEAP-MSCHAPv2 및 EAP-MSCHAPv2를 비롯한 MS-CHAPv2 기반 인증을 사용하는 Wi-Fi, 이더넷 및 VPN 배포가 있습니다. 적용 모드에서는 NTLMv1 파생 자격 증명에 종속된 단일 Sign-On 흐름이 차단됩니다. 자격 증명을 수동으로 입력하면 적용 모드에서 계속 작동합니다. 자세한 내용 및 모범 사례는 Credential Guard를 사용할 때 고려 사항 및 알려진 문제를 참조하세요.
질문 3: 이 업데이트와 Credential Guard 간에 다른 유사점이 있나요?
이 업데이트와 Credential Guard 간의 유일한 유사점은 NTLMv1 파생 암호화로부터 사용자 자격 증명을 보호한다는 것입니다. 이 업데이트는 Credential Guard의 광범위하고 강력한 보호 기능을 제공하지 않습니다. Microsoft는 지원되는 모든 플랫폼에서 Credential Guard를 사용하도록 설정하는 것이 좋습니다.
추가 지침이 나오면 이 문서는 업데이트됩니다.
참조 자료
로그 변경
| 날짜 | 변경 내용 |
|---|---|
| 2026년 10월 14일 | 2026년 10월에 종료된 최신 시행 변경 사항을 반영하고 MS-CHAPv2 기반 인증을 사용하는 Wi-Fi, 이더넷 및 VPN 배포에 미치는 영향을 강조하기 위해 문서 전체를 편집했습니다. |