Uwaga
- Data pierwotnej publikacji: 29 sierpnia 2025 r.
- Identyfikator KB: 5066470
Wprowadzenie
W tym artykule szczegółowo opisano zmiany związane z inspekcją i wymuszaniem blokowania kryptografii pochodzącej z NTLMv1 w systemie Windows. Zmiany dotyczą wersji systemu Windows wymienionych w sekcji Dotyczy (Windows 11, wersje 26H2, 26H1, 25H2 i 24H2 oraz Windows Server 2025). Ustawienie BlockNtlmv1SSO oraz skojarzone z nim zdarzenia inspekcji i wymuszania są obsługiwane w normalnym cyklu życia tych wersji systemu Windows i obecnie nie ma planów usunięcia tego ustawienia. Te zmiany są częścią szerszej inicjatywy firmy Microsoft mającej na celu stopniowe wycofywanie uwierzytelniania NTLM.
Aktualizacje systemu Windows wydane 13 października 2026 r. i później wzmacniają zabezpieczenia NTLMv1, zmieniając wewnętrzne zachowanie domyślne, gdy wartość rejestru BlockNtlmv1SSO nie jest ustawiona. Dzięki tej zmianie system Windows używa trybu wymuszania (1) zamiast trybu inspekcji (0). Ta zmiana dotyczy tylko urządzeń, na których funkcja Credential Guard jest wyłączona, a wartość rejestru BlockNtlmv1SSO nie jest ustawiona, i może mieć wpływ na połączenia Wi-Fi, Ethernet i VPN korzystające z uwierzytelniania opartego na protokole MS-CHAPv2.
Tło
Firma Microsoft usunęła protokół NTLMv1 (zobacz Usunięte funkcje i funkcjonalność) z systemu Windows 11, wersji 24H2 i Windows Server 2025 oraz nowszych wersji. Jednak mimo usunięcia protokołu NTLMv1 pozostałości kryptografii NTLMv1 są nadal obecne w niektórych scenariuszach, na przykład podczas używania połączeń opartych na MS-CHAPv2 (w tym PEAP-MSCHAPv2 i EAP-MSCHAPv2) w środowisku przyłączonym do domeny.
Począwszy od aktualizacji systemu Windows wydanych w sierpniu 2025 r., wprowadzono tryb inspekcji, aby ułatwić administratorom identyfikowanie zależności od poświadczeń pochodnych NTLMv1 przed wymuszeniem.
Funkcja Credential Guard zapewnia pełną ochronę zarówno przed starszą kryptografią NTLMv1, jak i wieloma innymi obszarami ataku, dlatego firma Microsoft zdecydowanie zaleca jej wdrożenie i włączenie, jeśli są spełnione wymagania funkcji Credential Guard. Zmiany opisane w tym artykule dotyczą tylko urządzeń, na których funkcja Credential Guard jest wyłączona. Jeśli na urządzeniu jest włączona funkcja Credential Guard systemu Windows, te zmiany nie zostaną uwzględnione.
Cel
Wraz z wycofaniem protokołu NTLM (zobacz Przestarzałe funkcje) i usunięciem protokołu NTLMv1, firma Microsoft pracuje nad sfinalizowaniem wyłączenia protokołu NTLMv1 przez zablokowanie używania poświadczeń pochodnych NTLMv1.
Zmiany
Zachowanie przed zainstalowaniem aktualizacji zabezpieczeń systemu Windows z października 2026 r.: Przed zainstalowaniem aktualizacji zabezpieczeń systemu Windows z października 2026 r., wydanej 13 października 2026 r., gdy wartość rejestru BlockNtlmv1SSO nie jest ustawiona, system Windows używa trybu inspekcji (0). Żądania użycia poświadczeń pochodnych NTLMv1 dla pojedynczego Sign-On są poddawane inspekcji, ale dozwolone i generowane są zdarzenia ostrzegawcze.
Zachowanie po zainstalowaniu aktualizacji zabezpieczeń systemu Windows z października 2026 r.: Po zainstalowaniu aktualizacji zabezpieczeń systemu Windows z października 2026 r., wydanej 13 października 2026 r., gdy wartość rejestru BlockNtlmv1SSO nie jest ustawiona; System Windows używa trybu wymuszania (1) zamiast trybu inspekcji (0). Aktualizacja nie tworzy ani nie modyfikuje wartości rejestru. W trybie wymuszania żądania użycia poświadczeń pochodnych NTLMv1 dla jednego Sign-On są blokowane.
Harmonogram tych zmian znajduje się w sekcji Wprowadzanie zmian.
Nowy klucz rejestru
Aktualizacje systemu Windows wydane w sierpniu 2025 r. wprowadziły nowy klucz rejestru, BlockNtlmv1SSO, który kontroluje, czy zmiany działają w trybie inspekcji , czy w trybie wymuszania .
Uwaga: Administratorzy mogą skonfigurować BlockNtlmv1SSO przed lub po zainstalowaniu aktualizacji zabezpieczeń systemu Windows z października 2026 r.
| Lokalizacja rejestru | HKEY_LOCAL_MACHINE\SYSTEM\currentcontrolset\control\lsa\msv1_0 |
|---|---|
| Wartość | BlockNtlmv1SSO |
| Type (Typ) | REG_DWORD |
| Dane |
|
| Ponowne uruchomienie | Ponowne uruchomienie urządzenia nie jest wymagane po zmianie BlockNtlmv1SSO. |
Począwszy od aktualizacji zabezpieczeń systemu Windows z października 2026 r., wydanej 13 października 2026 r., tryb wymuszania (1) staje się wewnętrznym zachowaniem domyślnym na kwalifikujących się urządzeniach, gdy wartość rejestru BlockNTLMv1SSO nie jest ustawiona.
Należy pamiętać, że domyślna zmiana zachowania nie tworzy ani nie modyfikuje wartości rejestru, która sama w sobie pozostaje nieobecna.
Nowe możliwości inspekcji
W przypadku korzystania z trybu inspekcji
Dziennik zdarzeń Microsoft-Windows-NTLM/Operacyjny Typ zdarzenia Ostrzeżenie Źródło zdarzenia NTLM Identyfikator zdarzenia 4024 Tekst zdarzenia Inspekcja próby użycia poświadczeń pochodnych NTLMv1 dla pojedynczego Sign-On
Serwer docelowy: <domain_name>
Dostarczony użytkownik: <user_name>
Podana domena: <domain_name>
Identyfikator PID procesu klienta: <process_identifier>
Nazwa procesu klienta: <process_name>
Identyfikator LUID procesu klienta: <locally_unique_identifier>
Tożsamość użytkownika procesu klienta: <user_name>
Nazwa domeny tożsamości użytkownika procesu klienta: <domain_name>
Mechanizm OID: <object_identifier>
Aby uzyskać więcej informacji, zobacz https://go.microsoft.com/fwlink/?linkid=2321802.Podczas korzystania z trybu wymuszania
Dziennik zdarzeń Microsoft-Windows-NTLM/Operacyjny Typ zdarzenia Błąd Źródło zdarzenia NTLM Identyfikator zdarzenia 4025 Tekst zdarzenia Próba użycia poświadczeń pochodnych NTLMv1 dla pojedynczego Sign-On została zablokowana ze względu na zasady.
Serwer docelowy: <domain_name>
Dostarczony użytkownik: <user_name>
Podana domena: <domain_name>
Identyfikator PID procesu klienta: <process_identifier>
Nazwa procesu klienta: <process_name>
Identyfikator LUID procesu klienta: <locally_unique_identifier>
Tożsamość użytkownika procesu klienta: <user_name>
Nazwa domeny tożsamości użytkownika procesu klienta: <domain_name>
Mechanizm OID: <object_identifier>
Aby uzyskać więcej informacji, zobacz https://go.microsoft.com/fwlink/?linkid=2321802.
Aby uzyskać więcej informacji na temat innych ulepszeń inspekcji, zobacz Omówienie ulepszeń inspekcji NTLM w systemie Windows 11, wersja 24H2 i Windows Server 2025.
Wdrażanie zmian
W aktualizacjach z września 2025 r. i późniejszych zmiany zostały wprowadzone w systemie Windows 11, w wersji 24H2 i nowszych wersjach w trybie inspekcji. W tym trybie zdarzenie o identyfikatorze 4024 było rejestrowane za każdym razem, gdy były używane poświadczenia pochodne NTLMv1, ale uwierzytelnianie nadal działało. Wdrożenie osiągnęło system Windows Server 2025 później w 2025 roku.
Począwszy od aktualizacji zabezpieczeń systemu Windows z października 2026 r., wydanej 13 października 2026 r., firma Microsoft wzmacnia zabezpieczenia NTLMv1, zmieniając wewnętrzne zachowanie domyślne, gdy wartość rejestru BlockNtlmv1SSO nie jest ustawiona. System Windows używa trybu wymuszania (1) zamiast trybu inspekcji (0).
W trybie wymuszania żądania wygenerowania poświadczeń pochodnych NTLMv1 dla pojedynczego Sign-On są blokowane, a nie tylko poddawane inspekcji.
Ta zmiana może mieć wpływ na środowiska, które nadal korzystają z poświadczeń pochodnych NTLMv1 na potrzeby logowania jednokrotnego, w tym na niektóre konfiguracje uwierzytelniania sieci Wi-Fi, Ethernet i VPN korzystające z protokołu MS-CHAPv2.
Kalendarium
| Data | Zmień |
|---|---|
| Koniec sierpnia 2025 r. | Dzienniki inspekcji dla użycia NTLMv1 włączone w systemie Windows 11, wersji 24H2 i nowszych klientach. |
| Listopad 2025 r. | Rozpocznij wdrażanie zmian w systemie Windows Server 2025. |
| Październik 2026 r. | Aktualizacja zabezpieczeń systemu Windows z października 2026 r. zmienia domyślne zachowanie, gdy wartość rejestru BlockNtlmv1SSO nie jest ustawiona. Jeśli tej wartości nie ma, system Windows używa trybu wymuszania (1) zamiast trybu inspekcji (0) bez tworzenia lub modyfikowania wartości rejestru, która pozostaje nieobecna. W trybie wymuszania używanie poświadczeń pochodnych NTLMv1 dla jednego Sign-On jest zablokowane. |
Przygotowywanie do trybu wymuszania
Użyj zdarzeń trybu inspekcji opisanych w tym artykule, aby zidentyfikować przepływy uwierzytelniania zależne od poświadczeń pochodnych NTLMv1 przed szerokim wdrożeniem zmiany. Środowiska korzystające z jednego Sign-On MS-CHAPv2 do uwierzytelniania sieci Wi-Fi, Ethernet lub VPN powinny zostać ocenione pod kątem potencjalnych zależności.
Tymczasowy wyjątek zabezpieczeń
Jeśli organizacja zidentyfikuje krytyczną zależność uwierzytelniania, której nie można od razu zmigrować, ustawienie dla logowania jednokrotnego BlockNTLMv1 wartości 0 (inspekcja) tymczasowo zezwala na korzystanie z poświadczeń pojedynczego Sign-On pochodzącego z NTLMv1 na czas zakończenia korygowania.
Ważne:Użycie trybu inspekcji zmniejsza ochronę zapewnianą przez tryb wymuszania i powinno być traktowane tylko jako tymczasowy wyjątek zabezpieczeń o określonym zakresie.
Często zadawane pytania (FAQ)
P1: Dlaczego istnieje różnica między tym, kiedy klient i serwery otrzymują zmiany?
Firma Microsoft stosuje metodę stopniowego wdrażania, aby rozpowszechniać aktualizację wersji przez pewien okres, a nie wszystkie naraz. Oznacza to, że użytkownicy otrzymują aktualizacje w różnym czasie i mogą one nie być dostępne od razu dla wszystkich użytkowników.
P2: Gdzie są używane poświadczenia pochodne NTLMv1?
Poświadczenia pochodne NTLMv1 są używane przez niektóre protokoły wyższego poziomu do celów pojedynczego Sign-On; Przykłady obejmują wdrożenia sieci Wi-Fi, Ethernet i sieci VPN korzystające z uwierzytelniania opartego na MS-CHAPv2, w tym PEAP-MSCHAPv2 i EAP-MSCHAPv2. W trybie wymuszania są blokowane przepływy pojedynczych Sign-On zależne od poświadczeń pochodnych NTLMv1. Ręczne wprowadzanie poświadczeń będzie nadal działać w trybie wymuszania. Aby uzyskać więcej informacji i najważniejszych wskazówek, zobacz Zagadnienia i znane problemy dotyczące korzystania z funkcji Credential Guard.
P3: Czy istnieją inne podobieństwa między tą aktualizacją a funkcją Credential Guard?
Jedyne podobieństwo między tą aktualizacją a funkcją Credential Guard to ochrona poświadczeń użytkownika przed kryptografią pochodzącą z protokołu NTLMv1. Ta aktualizacja nie zapewnia szerokiej i niezawodnej ochrony funkcji Credential Guard; Firma Microsoft zaleca włączenie funkcji Credential Guard na wszystkich obsługiwanych platformach.
Ten artykuł zostanie zaktualizowany, jeśli pojawią się dodatkowe wskazówki.
Źródła informacji
Zagadnienia i znane problemy dotyczące korzystania z funkcji Credential Guard
Zaawansowane zabezpieczenia systemu Windows: Domyślne wyłączanie protokołu NTLM
Dziennik zmian
| Data | Zmiana |
|---|---|
| 19 października 2026 r. | Artykuł został przemianowany na tytuł, a część Wstęp została poprawiona. System Windows 11, wersja 26H1 został dodany do listy produktów objętych tym artykułem. |
| 14 października 2026 r. | Zmiany w całym artykule zostały wprowadzone w celu odzwierciedlenia najnowszych zmian wymuszania wprowadzonych w październiku 2026 r. i podkreślenia wpływu na wdrożenia sieci Wi-Fi, Ethernet i VPN korzystających z uwierzytelniania opartego na MS-CHAPv2. |