KB5127648 og NTLMv1: Af hverju PEAP-MSCHAPv2 Wi-Fi, LAN og VPN hætti að tengjast og hvernig á að laga það til frambúðar

Stutt svar

Frá og með KB5127648, heildaruppfærslu október 2026 fyrir Windows 11 24H2, 25H2 og 26H2, lokar Windows á NTLMv1-afleiddar skilríkjar fyrir single sign-on að sjálfgefnu. Windows Server 2025 fær sömu breytingu með uppfærslu sinni í október 2026. Á tækjum án Credential Guard munu Wi-Fi, Ethernet (þráðbundið 802.1X) og VPN-tengingar sem nota PEAP-MSCHAPv2 eða EAP-MSCHAPv2 með Windows-skilríkjum ekki lengur tengjast sjálfkrafa.

Það að stilla skrásetningargildi BlockNtlmv1SSO á 0 endurheimt gamla hegðunina í bili. Varanleg lagfæringin sem Microsoft mælir með er skilríkjamiðuð auðkenning með EAP-TLS.

TL;DR

• Hvað breyttist: Windows framfylgir nú BlockNtlmv1SSO á öllum tækjum þar sem kerfisstjóri hefur ekki stillt það. Microsoft tilkynnti þetta í Message Center-færslu MC1508562 og skjalfestar það í KB5066470.
• Hverjir verða fyrir áhrifum: Tæki án Credential Guard sem nota MS-CHAPv2-miðaðan single sign-on, venjulega Windows-biðlarar sem eru í léni.
• Skjót hjáleiðarlausn: Stilltu BlockNtlmv1SSO á 0. Microsoft segir sjálft að stillingunni megi ekki nota til lengri tíma.
• Varanleg lagfæring: Farðu yfir í EAP-TLS. Með SCEPman geturðu gert það án þess að reisa PKI á staðnum.

Hvað breyttist með KB5127648

Microsoft hefur verið að afnema NTLM skref fyrir skref. Nýjasta skrefið bitnar á samskiptareglum sem mörg netkerfi treysta enn á daglega: MS-CHAPv2. Hún byggir á NTLMv1-afleiddum skilríkjum, og Windows gefur þær ekki lengur út fyrir single sign-on.

Microsoft tilkynnti framfylgdina í Message Center-færslu MC1508562, „Take action: NTLMv1 hardening changes might affect network connections on devices without Credential Guard". Tæknilegar forsendur eru í KB5066470.

Microsoft lýsir þessu sem fyrirhuguðri öryggisherðun, ekki þekktri villu í uppfærslunni. Þetta er því til að vera.

Ert þú í vandanum?

Þú ert líklega í vandanum ef eftirfarandi á við:

• Tækin þín keyra Windows 11 24H2 eða síðar, eða Windows Server 2025, með uppfærslu október 2026 (KB5127648 á Windows 11) uppsetta.
• Credential Guard er óvirkt á þessum tækjum.
• Wi-Fi, Ethernet (þráðbundið 802.1X) eða VPN þitt notar PEAP-MSCHAPv2 eða EAP-MSCHAPv2 með single sign-on. Þetta á venjulega við um Windows-biðlara í léni með „Automatically use my Windows logon name and password" virkt.
• Skrásetningargildi BlockNtlmv1SSO hefur aldrei verið stillt.

Þú verður ekki fyrir áhrifum af þessari breytingu ef tækin þín nota nú þegar skilríkjamiðaða auðkenningu (EAP-TLS). Tæki með Credential Guard virkt voru þegar að loka á þessa hegðun, þannig að lykilorðamiðaður SSO var þegar brotinn þar. Breytingin er í Windows, þannig að macOS-, iOS-, Android- og Linux-biðlarar eru ekki fyrir áhrifum.

Hvernig það lítur út

• Tæki tengjast ekki lengur sjálfkrafa og notendur fá innskráningargluggann upp.
• Það að slá lykilorðið inn handvirkt virkar enn, en Windows getur ekki vistað það til næstu skiptis.
• Verkferlar sem tengdust áður án notendaíhlutunar hætta að virka, til dæmis samnýtt tæki eða kíósk-tæki og VPN-forstillingar sem tengjast sjálfkrafa.
• Biðlarinn skráir Event ID 4025 („blocked") í Microsoft-Windows-NTLM/Operational. Í Audit-ham skráir hann Event ID 4024 í staðinn.

Mistakið á sér stað á biðlaranum, þannig að RADIUS- eða NPS-kladdar þínir sýna kannski lítið sem ekkert. Byrjaðu úrræðaleit á endapunktinum.

Hvernig á að athuga tæki

# Er BlockNtlmv1SSO stillt? (ekkert gildi = Windows notar nýja Enforce-sjálfgildið)
reg query "HKLM\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0" /v BlockNtlmv1SSO

# Hefur Windows rekið (4024) eða lokað á (4025) NTLMv1-afleiddar skilríkjar?
Get-WinEvent -LogName 'Microsoft-Windows-NTLM/Operational' -FilterXPath '*[System[(EventID=4024 or EventID=4025)]]' -MaxEvents 50

Skjót hjáleiðarlausnin: stilltu BlockNtlmv1SSO á 0

Þú getur sett tæki sem eru í vandanum aftur í Audit-ham. Windows leyfir þá NTLMv1-afleiddar skilríkjar aftur og skráir hverja notkun með Event ID 4024.

Skipanalína

reg add "HKLM\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0" /v BlockNtlmv1SSO /t REG_DWORD /d 0 /f

Intune remediation (keyrt í system context)

# Detection script: compliant only if BlockNtlmv1SSO is explicitly set to 0
$v = (Get-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0' -Name 'BlockNtlmv1SSO' -ErrorAction SilentlyContinue).BlockNtlmv1SSO
if ($v -eq 0) { exit 0 } else { exit 1 }

# Remediation script
New-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0' -Name 'BlockNtlmv1SSO' -PropertyType DWord -Value 0 -Force | Out-Null

Fyrir tæki í léni skaltu nota Group Policy Preferences skrásetningaratriði með sama lykli, gildisnafni, tegund og gögnum.

Af hverju þetta er aðeins hjáleiðarlausn

• Hún opnar veika leið aftur. Microsoft segir að MS-CHAPv2-miðaðir endapunktar „séu háðir svipuðum áhættum og þær sem gilda um NTLMv1" og ráðleggur að þessi stilling „skuli metin vandlega og ekki notuð til lengri tíma."
• Hún hjálpar ekki tækjum með Credential Guard. Þau loka á MS-CHAPv2 SSO burtséð frá þessari stillingu.
• Tæki án nettengingar geta ekki fengið stefnuna. Tæki sem hafa þegar misst nettengingu þurfa kannski þráðbundið net eða gestanet til að fá stillinguna.
• Að fjarlægja uppfærsluna er ekki valkostur. Það skilur tækin eftir án öryggislagfæringa mánaðarins.

Notaðu hjáleiðarlausnina til að kaupa tíma, gefðu henni skráðan lokadagsetningu og notaðu þann tíma til að flytja.

Varanleg lagfæringin: EAP-TLS í stað lykilorða

Microsoft mælir með því að fjarlægja ósjálfstæðið á MS-CHAPv2 og færa Wi-Fi- og VPN-tengingar yfir í skilríkjamiðaða auðkenningu með EAP-TLS. Tækið eða notandinn sannar þá auðkenni sitt með skilríkjum og einkalykli í stað lykilorðs, og einkalykillinn getur verið varinn af TPM.

Auk þess að laga bilunina færðu betri upplifun fyrir notendur og sterkari öryggisstuðning.

Af hverju svo mörg netkerfi keyra enn á lykilorðum

Samskiptareglurnar eru ekki erfiðasti hlutinn. PKI-ið er það. Hefðbundna uppsetningin inniheldur AD CS, NDES, Intune Certificate Connector, application proxy, CRL-útgáfu, hátt framboð og plástrið. Þetta eru mörg hlutföll bara til að setja skilríki á fartölvu, og það er ástæðan fyrir því að mörg teymi hafa frestað flutningnum í ár. Sjá nánar í Microsoft ADCS Alternatives in 2026.

Hvernig SCEPman fjarlægir PKI-þörfina

SCEPman er Azure-native vottorðsyfirvald sem keyrir að fullu í þínum eigin Azure tenant, með lykla í Azure Key Vault.

• Fljótleg ræsing: Settu upp í gegnum Azure Marketplace, ARM-sniðmát eða Terraform. Flest teymi gefa út fyrsta skilríkið á innan við klukkutíma.
• Stjórnuð tæki: Microsoft Intune, Jamf Pro og aðrar MDM-lausnir gefa út og endurnýja tæki- og notandaskilríki sjálfkrafa í gegnum SCEP.
• Rauntímastaðfesting: Skilríki eru bundin við notanda- eða tækjahlutinn og athuguð í gegnum OCSP. Þegar auðkenni breytist er aðgangur afturkallaður sjálfkrafa.
• Virkar með netkerfið þitt: SCEPman styður Cisco og Meraki, HPE Aruba, Fortinet, Juniper og fleiri, og virkar með núverandi RADIUS-þjón þínum.
• Engin RADIUS-þjónar nauðsynlegir: Ásamt RADIUSaaS færðu heildstæða cloud-native lausn fyrir skilríkjamiðaðan Wi-Fi-, LAN- og VPN-aðgang.

Flutningsleiðin í sex skrefum

1. Taktu skrá. Finndu út hvaða SSID, þráðbundnar 802.1X-stefnur og VPN-forstillingar nota enn MS-CHAPv2. Event ID 4024 og 4025 sýna þér hvaða tæki eru háð þessum.
2. Kauptu tíma þar sem þarf. Stilltu BlockNtlmv1SSO á 0 á mikilvægum tækjum, en skráðu það og gefðu þessu lokadagsetningu.
3. Settu upp SCEPman og dreifðu rót-CA-skilríki þess, annaðhvort í gegnum Intune trusted certificate profile eða Group Policy.
4. Gefðu út skilríki. Gefðu út tækjaskilríki (og notandaskilríki þar sem þarf) í gegnum Intune, Jamf Pro eða aðrar MDM SCEP-forstillingar.
5. Skiptu yfir smám saman. Virkjaðu EAP-TLS á RADIUS-þjóni þínum (NPS, núverandi RADIUS eða RADIUSaaS) samhliða PEAP. Færðu svo Wi-Fi-, 802.1X- og VPN-forstillingarnar þínar yfir í EAP-TLS einn hóp í einu.
6. Hreinsaðu upp. Fjarlægðu MS-CHAPv2-stefnurnar, settu svo BlockNtlmv1SSO aftur á 1 eða eyddu gildinu svo Windows noti örugga sjálfgildið aftur:

reg delete "HKLM\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0" /v BlockNtlmv1SSO /f

Niðurstaðan

Microsoft hefur tekið ákvörðunina: lykilorðamiðaður netSSO í gegnum MS-CHAPv2 á enga framtíð í Windows. Þú getur lagað utan um KB5127648 í nokkrar vikur, eða þú getur notað þetta augnablik til að færa þig yfir í skilríkjamiðaðan aðgang til frambúðar.

Leiðinlegt PKI. Áreiðanleg skilríki.

Prófaðu SCEPman ókeypis

FAQ