KB5127648 ja NTLMv1: Miksi PEAP-MSCHAPv2 Wi-Fi, LAN ja VPN lakkasivat yhdistämästä ja miten ongelma ratkaistaan pysyvästi

Lyhyt vastaus

KB5127648:n, lokakuun 2026 kumulatiivisen päivityksen Windows 11 24H2:lle, 25H2:lle ja 26H2:lle, myötä Windows estää oletuksena NTLMv1-johdetut tunnistetiedot kertakirjautumista varten. Windows Server 2025 saa saman muutoksen lokakuun 2026 päivityksen yhteydessä. Laitteilla, joilla Credential Guard ei ole käytössä, Wi-Fi-, Ethernet- (kiinteä 802.1X) ja VPN-yhteydet, jotka käyttävät PEAP-MSCHAPv2:ta tai EAP-MSCHAPv2:ta Windows-tunnistetiedoilla, eivät enää yhdistä automaattisesti.

Rekisteriarvon BlockNtlmv1SSO asettaminen arvoon 0 palauttaa vanhan toimintatavan toistaiseksi. Microsoftin suosittelema pysyvä ratkaisu on sertifikaattipohjainen todennus EAP-TLS:llä.

TL;DR

• Mitä muuttui: Windows pakottaa nyt BlockNtlmv1SSO:n käyttöön kaikilla laitteilla, joilla järjestelmänvalvoja ei ole sitä erikseen määrittänyt. Microsoft ilmoitti tästä Message Center -viestissä MC1508562 ja dokumentoi sen KB5066470:ssä.
• Ketä asia koskee: Laitteita, joilla Credential Guard ei ole käytössä ja jotka käyttävät MS-CHAPv2-pohjaista kertakirjautumista, tyypillisesti toimialueeseen liitettyjä Windows-asiakkaita.
• Nopea kiertotapa: Aseta BlockNtlmv1SSO arvoon 0. Microsoft itse toteaa, että asetusta ei pidä käyttää pitkäaikaisesti.
• Pysyvä ratkaisu: Siirry EAP-TLS:ään. SCEPmanin avulla tämä onnistuu ilman paikallista PKI-infrastruktuuria.

Mitä KB5127648 muutti

Microsoft on poistanut NTLMia käytöstä vaiheittain. Viimeisin vaihe koskee protokollaa, johon monet verkot yhä nojautuvat päivittäin: MS-CHAPv2. Se perustuu NTLMv1-johdettuihin tunnistetietoihin, joita Windows ei enää luovuta kertakirjautumista varten.

Microsoft ilmoitti pakottamisesta Message Center -viestissä MC1508562, "Take action: NTLMv1 hardening changes might affect network connections on devices without Credential Guard". Tekninen tausta löytyy KB5066470:stä.

Microsoft kutsuu tätä suunnitelluksi tietoturvan kovennukseksi eikä päivityksen tunnetuksi ongelmaksi. Muutos on siis pysyvä.

Oletko vaikuttunut?

Asia koskee sinua todennäköisesti, jos kaikki seuraavat ehdot täyttyvät:

• Laitteillasi on Windows 11 24H2 tai uudempi taikka Windows Server 2025 sekä lokakuun 2026 päivitys (KB5127648 Windows 11:ssä) asennettuna.
• Credential Guard on poistettu käytöstä kyseisillä laitteilla.
• Wi-Fi-, Ethernet- (kiinteä 802.1X) tai VPN-yhteytesi käyttää PEAP-MSCHAPv2:ta tai EAP-MSCHAPv2:ta kertakirjautumisella. Tämä on tyypillistä toimialueeseen liitetyille laitteille, joissa "Käytä automaattisesti Windows-kirjautumistunnustani ja -salasanaani" on käytössä.
• BlockNtlmv1SSO-rekisteriarvoa ei ole koskaan asetettu.

Muutos ei koske sinua, jos laitteesi käyttävät jo sertifikaattipohjaista todennusta (EAP-TLS). Laitteilla, joilla Credential Guard on käytössä, tämä toiminta oli jo estetty, joten salasanapohjainen SSO oli niillä jo rikki. Muutos koskee Windowsia, joten macOS-, iOS-, Android- ja Linux-asiakkaat eivät ole vaikuttuneet.

Miltä ongelma näyttää

• Laitteet eivät yhdistä enää automaattisesti, ja käyttäjille tulee tunnistetietopyyntö.
• Salasanan syöttäminen manuaalisesti toimii edelleen, mutta Windows ei pysty tallentamaan sitä seuraavaa kertaa varten.
• Työnkulut, jotka aiemmin yhdistivät ilman käyttäjän toimia, lakkaavat toimimasta, esimerkiksi jaetut laitteet tai kioskikoneet sekä automaattisesti yhdistävät VPN-profiilit.
• Asiakas kirjaa Event ID 4025:n ("estetty") Microsoft-Windows-NTLM/Operational-lokiin. Tarkkailu-tilassa se kirjaa sen sijaan Event ID 4024:n.

Ongelma syntyy asiakaspäässä, joten RADIUS- tai NPS-lokeissasi saattaa näkyä vähän tai ei mitään. Aloita vianmääritys päätepisteestä.

Laitteen tarkistaminen

# Onko BlockNtlmv1SSO määritetty? (ei arvoa = Windows käyttää uutta Pakota-oletusta)
reg query "HKLM\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0" /v BlockNtlmv1SSO

# Onko Windows tarkkaillut (4024) tai estänyt (4025) NTLMv1-johdettuja tunnistetietoja?
Get-WinEvent -LogName 'Microsoft-Windows-NTLM/Operational' -FilterXPath '*[System[(EventID=4024 or EventID=4025)]]' -MaxEvents 50

Nopea kiertotapa: aseta BlockNtlmv1SSO arvoon 0

Voit palauttaa vaikuttuneet laitteet Tarkkailu-tilaan. Windows sallii tällöin NTLMv1-johdetut tunnistetiedot uudelleen ja kirjaa jokaisen käyttökerran Event ID 4024:llä.

Komentorivi

reg add "HKLM\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0" /v BlockNtlmv1SSO /t REG_DWORD /d 0 /f

Intune-korjaus (suorita järjestelmäkontekstissa)

# Tunnistuskomentosarja: yhteensopiva vain, jos BlockNtlmv1SSO on nimenomaisesti asetettu arvoon 0
$v = (Get-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0' -Name 'BlockNtlmv1SSO' -ErrorAction SilentlyContinue).BlockNtlmv1SSO
if ($v -eq 0) { exit 0 } else { exit 1 }

# Korjauskomentosarja
New-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0' -Name 'BlockNtlmv1SSO' -PropertyType DWord -Value 0 -Force | Out-Null

Toimialueeseen liitetyille laitteille käytä Group Policy Preferences -rekisterikohde samalla avaimella, arvon nimellä, tyypillä ja datalla.

Miksi tämä on vain kiertotapa

• Se avaa heikon polun uudelleen. Microsoft toteaa, että MS-CHAPv2-pohjaiset päätepisteet "altistuvat riskeille, jotka ovat samankaltaisia kuin NTLMv1:tä koskevat riskit", ja neuvoo, että tätä asetusta "tulee harkita huolellisesti eikä sitä pidä käyttää pitkäaikaisesti."
• Se ei auta laitteilla, joilla Credential Guard on käytössä. Ne estävät MS-CHAPv2 SSO:n tästä asetuksesta riippumatta.
• Offline-laitteet eivät voi vastaanottaa käytäntöä. Laitteet, jotka ovat jo menettäneet verkkoyhteyden, saattavat tarvita langallisen tai vierasverkon asetuksen vastaanottamiseksi.
• Päivityksen poistaminen ei ole vaihtoehto. Se jättää laitteet ilman kuukauden tietoturvakorjauksia.

Käytä kiertotapaa peliajan ostamiseen, anna sille dokumentoitu päättymispäivä ja käytä se aika siirtymiseen.

Pysyvä ratkaisu: EAP-TLS salasanojen sijaan

Microsoft suosittelee poistamaan riippuvuuden MS-CHAPv2:sta ja siirtämään Wi-Fi- ja VPN-yhteydet sertifikaattipohjaiseen todennukseen EAP-TLS:llä. Laite tai käyttäjä todistaa tällöin henkilöllisyytensä sertifikaatilla ja yksityisellä avaimella salasanan sijaan, ja yksityinen avain voidaan suojata TPM:llä.

Katkoksen korjaamisen lisäksi saat paremman käyttökokemuksen ja vahvemman tietoturva-aseman.

Miksi niin monet verkot toimivat yhä salasanoilla

Protokolla ei ole se vaikea osa. PKI on. Perinteinen kokoonpano sisältää AD CS:n, NDES:n, Intune Certificate Connectorin, sovellusproxyn, CRL-julkaisun, korkean saatavuuden ja korjaustenhallinnnan. Se on paljon liikkuvia osia pelkästään sertifikaatin saamiseksi kannettavalle tietokoneelle, ja siksi monet tiimit ovat lykänneet siirtymistä vuosia. Lisää tästä aiheesta löytyy artikkelista Microsoft ADCS Alternatives in 2026.

Miten SCEPman poistaa PKI:n yhtälöstä

SCEPman on Azure-natiivi varmentaja, joka toimii kokonaan omassa Azure-vuokraajassasi avaimineen Azure Key Vaultissa.

• Nopea käynnistys: Ota käyttöön Azure Marketplacen, ARM-mallin tai Terraformin kautta. Useimmat tiimit myöntävät ensimmäisen sertifikaattinsa alle tunnissa.
• Hallitut laitteet: Microsoft Intune, Jamf Pro ja muut MDM-ratkaisut myöntävät ja uudistavat laite- ja käyttäjäsertifikaatit automaattisesti SCEP:n kautta.
• Reaaliaikainen validointi: Sertifikaatit on sidottu käyttäjä- tai laiteobjektiin ja tarkistetaan OCSP:n kautta. Kun identiteetti muuttuu, pääsy peruutetaan automaattisesti.
• Toimii verkkosi kanssa: SCEPman tukee Ciscoa ja Merakia, HPE Arubaa, Fortinetia, Juniperia ja muita, ja toimii olemassa olevan RADIUS-palvelimesi kanssa.
• RADIUS-palvelimia ei tarvita: Yhdistettynä RADIUSaaS:iin saat täydellisen pilvinatiivisen ratkaisun sertifikaattipohjaiseen Wi-Fi-, LAN- ja VPN-käyttöön.

Siirtymispolku kuudessa vaiheessa

1. Tee inventaario. Selvitä, mitkä SSID:t, kiinteät 802.1X-käytännöt ja VPN-profiilit käyttävät yhä MS-CHAPv2:ta. Event ID:t 4024 ja 4025 näyttävät, mitkä laitteet ovat riippuvaisia siitä.
2. Osta aikaa tarvittaessa. Aseta BlockNtlmv1SSO arvoon 0 kriittisillä laitteilla, mutta dokumentoi se ja anna sille päättymispäivä.
3. Ota SCEPman käyttöön ja jaa sen juurivarmennin joko Intunen luotetun sertifikaattiprofiilin tai ryhmäkäytännön kautta.
4. Ota sertifikaatit käyttöön. Myönnä laitteiden sertifikaatit (ja tarvittaessa käyttäjäsertifikaatit) Intunen, Jamf Pron tai muiden MDM-SCEP-profiilien kautta.
5. Vaihda vaiheittain. Ota EAP-TLS käyttöön RADIUS-palvelimessasi (NPS, olemassa oleva RADIUS tai RADIUSaaS) PEAP:n rinnalle. Siirrä sitten Wi-Fi-, 802.1X- ja VPN-profiilit EAP-TLS:ään yksi ryhmä kerrallaan.
6. Siivoa. Poista MS-CHAPv2-käytännöt, aseta sitten BlockNtlmv1SSO takaisin arvoon 1 tai poista arvo kokonaan, jolloin Windows käyttää jälleen turvallista oletusta:

reg delete "HKLM\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0" /v BlockNtlmv1SSO /f

Yhteenveto

Microsoft on tehnyt päätöksensä: salasanapohjainen verkon SSO MS-CHAPv2:n kautta ei ole Windowsilla tulevaisuutta. KB5127648:n voi kiertää muutaman viikon ajan, tai voit käyttää tämän hetken siirtymiseen sertifikaattipohjaiseen käyttöön pysyvästi.

Tylsä PKI. Luotettavat sertifikaatit.

Kokeile SCEPmania ilmaiseksi

FAQ