[{"data":1,"prerenderedAt":1104},["ShallowReactive",2],{"sc:header-data-it":3,"sc:footer-data-it":95,"post-it--posts-kb5127648-peap-mschapv2-eap-tls-e5015173d9a57":132,"authors_data":900,"authors_data:SCEPman Team":984,"content-it-list-7b291c2dd91a4":986},{"lang":4,"home":5,"navigation":14},"en",{"name":6,"imgLight":7,"img":8,"languages":9},"home","/products/scepman/scepman-logo-all-white.svg","/products/scepman/scepman-logo-rgb.svg",{"it":10},{"title":11,"url":12,"alt":13},"Home","/it","SCEPman",[15,19,25,31,83,89],{"name":16,"languages":17},"nav-home",{"it":18},{"title":11,"url":12},{"name":20,"languages":21},"pricing",{"it":22},{"title":23,"url":24},"Prezzi","/it/pricing",{"name":26,"languages":27},"partner",{"it":28},{"title":29,"url":30},"Partner","/it/partner",{"name":32,"languages":33,"children":36},"support-hub",{"it":34},{"title":35},"Support Hub",[37,53,68],{"name":38,"children":39},"support-hub-group-1",[40,47],{"name":41,"target":42,"languages":43},"docs","_blank",{"it":44},{"title":45,"url":46},"Docs","https://docs.scepman.com/",{"name":48,"languages":49},"faq",{"it":50},{"title":51,"url":52},"FAQ","/it/faq",{"name":54,"children":55},"support-hub-group-2",[56,62],{"name":57,"target":42,"languages":58},"support-ticket",{"it":59},{"title":60,"url":61},"Support Ticket","https://support.scepman.com/support/tickets/new?ticket_form=technical_support_request_%28scepman%29",{"name":63,"target":42,"languages":64},"drop-a-question",{"it":65},{"title":66,"url":67},"Contact Sales","https://support.scepman.com/support/tickets/new?ticket_form=drop_a_question_%28scepman%29",{"name":69,"children":70},"support-hub-group-3",[71,77],{"name":72,"languages":73},"glossary",{"it":74},{"title":75,"url":76},"Glossario","/it/glossary",{"name":78,"languages":79},"blog",{"it":80},{"title":81,"url":82},"Blog","/it/blog",{"name":84,"languages":85},"events",{"it":86},{"title":87,"url":88},"Eventi","/it/events",{"name":90,"languages":91},"about",{"it":92},{"title":93,"url":94},"Chi siamo","/it/about-us",{"data":96},{"mail":97,"logos":98,"socials":103,"links":116,"linksIt":126},"sales@SCEPman.com",[99],{"img":100,"alt":101,"url":102},"/products/scepman/scepman-logo-yellow.svg","SCEPman Logo","/",[104,108,112],{"icon":105,"url":106,"title":107},"fa-x-twitter","https://twitter.com/scepman_","X",{"icon":109,"url":110,"title":111},"fa-youtube","https://www.youtube.com/channel/UCKnLYxlQFhzdXkDADV_Unrg","Youtube",{"icon":113,"url":114,"title":115},"fa-linkedin","https://www.linkedin.com/showcase/scepman","LinkedIn",[117,120,123],{"title":118,"url":119,"target":42},"Privacy","https://www.glueckkanja.com/en/privacy",{"title":121,"url":122,"target":42},"Imprint","https://www.glueckkanja.com/en/imprint",{"title":124,"url":125,"target":42},"Contact & Locations","https://www.glueckkanja.com/en/company/contact-and-locations",[127,128,130],{"title":118,"url":119,"target":42},{"title":129,"url":122,"target":42},"Note legali",{"title":131,"url":125,"target":42},"Contatti e sedi",{"id":133,"title":134,"author":135,"body":137,"cta":852,"description":312,"eventid":852,"extension":853,"hideInRecent":854,"layout":855,"meta":856,"moment":860,"navigation":335,"path":887,"seo":888,"stem":889,"tags":890,"webcast":854,"__hash__":899},"content_it/posts/kb5127648-peap-mschapv2-eap-tls.md","KB5127648 e NTLMv1: perché PEAP-MSCHAPv2 Wi-Fi, LAN e VPN hanno smesso di connettersi e come risolvere il problema definitivamente",[136],"SCEPman Team",{"type":138,"value":139,"toc":834},"minimal",[140,145,149,152,158,186,190,193,242,253,256,260,263,277,280,285,299,302,306,349,353,356,419,424,433,439,459,474,477,481,507,510,514,517,604,607,611,618,622,625,657,661,700,709,713,716,719,723,769,773,828,831],[141,142,144],"h2",{"id":143},"la-risposta-breve","La risposta breve",[146,147,148],"p",{},"A partire da KB5127648, l'aggiornamento cumulativo di ottobre 2026 per Windows 11 24H2, 25H2 e 26H2, Windows blocca per impostazione predefinita le credenziali derivate da NTLMv1 per il single sign-on. Windows Server 2025 riceve la stessa modifica con il suo aggiornamento di ottobre 2026. Sui dispositivi privi di Credential Guard, le connessioni Wi-Fi, Ethernet (802.1X cablato) e VPN che utilizzano PEAP-MSCHAPv2 o EAP-MSCHAPv2 con credenziali Windows non si connettono più automaticamente.",[146,150,151],{},"Impostare il valore di registro BlockNtlmv1SSO a 0 ripristina il comportamento precedente per il momento. Il fix definitivo raccomandato da Microsoft è l'autenticazione basata su certificati con EAP-TLS.",[146,153,154],{},[155,156,157],"strong",{},"TL;DR",[159,160,161,168,174,180],"ul",{},[162,163,164,167],"li",{},[155,165,166],{},"Cosa è cambiato:"," Windows applica ora BlockNtlmv1SSO su ogni dispositivo in cui un amministratore non lo ha configurato esplicitamente. Microsoft ha annunciato questo cambiamento nel post MC1508562 del Message Center e lo documenta in KB5066470.",[162,169,170,173],{},[155,171,172],{},"Chi è colpito:"," I dispositivi privi di Credential Guard che utilizzano il single sign-on basato su MS-CHAPv2, tipicamente client Windows aggiunti al dominio.",[162,175,176,179],{},[155,177,178],{},"Soluzione temporanea:"," Impostare BlockNtlmv1SSO a 0. Microsoft stessa afferma che questa impostazione non dovrebbe essere usata a lungo termine.",[162,181,182,185],{},[155,183,184],{},"Fix definitivo:"," Migrare a EAP-TLS. Con SCEPman puoi farlo senza costruire una PKI on-premises.",[141,187,189],{"id":188},"cosa-è-cambiato-con-kb5127648","Cosa è cambiato con KB5127648",[146,191,192],{},"Microsoft sta eliminando NTLM gradualmente, passo dopo passo. L'ultimo passaggio colpisce un protocollo su cui molte reti fanno ancora affidamento ogni giorno: MS-CHAPv2. Si basa su credenziali derivate da NTLMv1, e Windows non le fornisce più per il single sign-on.",[194,195,199],"div",{"className":196,"style":198},[197],"post-table","grid-column: content; overflow-x: auto;",[200,201,202,203],"table",{},"\n  ",[204,205,206,202,217,202,226,202,234],"tbody",{},[207,208,209,210,209,214,202],"tr",{},"\n    ",[211,212,213],"th",{},"Quando",[211,215,216],{},"Cosa è successo",[207,218,209,219,209,223,202],{},[220,221,222],"td",{},"Fine agosto 2025",[220,224,225],{},"Windows 11 24H2 e versioni successive iniziano ad auditare l'uso delle credenziali derivate da NTLMv1 (Event ID 4024).",[207,227,209,228,209,231,202],{},[220,229,230],{},"Novembre 2025",[220,232,233],{},"Avvio del rollout dell'auditing su Windows Server 2025.",[207,235,209,236,209,239,202],{},[220,237,238],{},"13 ottobre 2026",[220,240,241],{},"KB5127648 (Windows 11 24H2, 25H2, 26H2) passa l'impostazione predefinita da Audit a Enforce sui dispositivi in cui BlockNtlmv1SSO non è stato configurato. Windows Server 2025 segue con il suo aggiornamento di ottobre 2026.",[146,243,244,245,252],{},"Microsoft ha annunciato l'applicazione forzata nel post MC1508562 del Message Center, \"Take action: NTLMv1 hardening changes might affect network connections on devices without Credential Guard\". Il contesto tecnico è in ",[246,247,251],"a",{"href":248,"rel":249},"https://support.microsoft.com/help/5066470",[250],"nofollow","KB5066470",".",[146,254,255],{},"Microsoft definisce questa modifica come un cambiamento pianificato di security hardening, non un problema noto dell'aggiornamento. In altre parole, è qui per restare.",[141,257,259],{"id":258},"sei-interessato","Sei interessato?",[146,261,262],{},"Probabilmente sei interessato se si verificano tutte le seguenti condizioni:",[159,264,265,268,271,274],{},[162,266,267],{},"I tuoi dispositivi eseguono Windows 11 24H2 o versioni successive, oppure Windows Server 2025, con l'aggiornamento di ottobre 2026 (KB5127648 su Windows 11) installato.",[162,269,270],{},"Credential Guard è disabilitato su quei dispositivi.",[162,272,273],{},"Il tuo Wi-Fi, Ethernet (802.1X cablato) o VPN utilizza PEAP-MSCHAPv2 o EAP-MSCHAPv2 con single sign-on. Si tratta tipicamente di un dispositivo aggiunto al dominio con l'opzione \"Usa automaticamente il nome e la password di accesso Windows\" abilitata.",[162,275,276],{},"Il valore di registro BlockNtlmv1SSO non è mai stato impostato.",[146,278,279],{},"Non sei interessato da questo cambiamento se i tuoi dispositivi utilizzano già l'autenticazione basata su certificati (EAP-TLS). I dispositivi con Credential Guard abilitato bloccavano già questo comportamento, quindi l'SSO basato su password era già non funzionante su di essi. Il cambiamento riguarda Windows, pertanto i client macOS, iOS, Android e Linux non sono interessati.",[281,282,284],"h3",{"id":283},"come-si-manifesta","Come si manifesta",[159,286,287,290,293,296],{},[162,288,289],{},"I dispositivi non si connettono più automaticamente e agli utenti viene mostrata una richiesta di credenziali.",[162,291,292],{},"Inserire la password manualmente funziona ancora, ma Windows non riesce a salvarla per la volta successiva.",[162,294,295],{},"I flussi di lavoro che si connettevano senza interazione dell'utente smettono di funzionare, ad esempio dispositivi condivisi o kiosk e profili VPN che si connettono automaticamente.",[162,297,298],{},"Il client registra l'Event ID 4025 (\"blocked\") in Microsoft-Windows-NTLM/Operational. In modalità Audit registra invece l'Event ID 4024.",[146,300,301],{},"Il problema si verifica sul client, quindi i log di RADIUS o NPS potrebbero non mostrare nulla o quasi. Inizia la risoluzione dei problemi sull'endpoint.",[281,303,305],{"id":304},"come-verificare-un-dispositivo","Come verificare un dispositivo",[307,308,313],"pre",{"className":309,"code":310,"language":311,"meta":312,"style":312},"language-powershell shiki shiki-themes github-light github-dark","# BlockNtlmv1SSO è configurato? (nessun valore = Windows usa il nuovo default Enforce)\nreg query \"HKLM\\SYSTEM\\CurrentControlSet\\Control\\Lsa\\MSV1_0\" /v BlockNtlmv1SSO\n\n# Windows ha auditato (4024) o bloccato (4025) le credenziali derivate da NTLMv1?\nGet-WinEvent -LogName 'Microsoft-Windows-NTLM/Operational' -FilterXPath '*[System[(EventID=4024 or EventID=4025)]]' -MaxEvents 50\n","powershell","",[314,315,316,324,330,337,343],"code",{"__ignoreMap":312},[317,318,321],"span",{"class":319,"line":320},"line",1,[317,322,323],{},"# BlockNtlmv1SSO è configurato? (nessun valore = Windows usa il nuovo default Enforce)\n",[317,325,327],{"class":319,"line":326},2,[317,328,329],{},"reg query \"HKLM\\SYSTEM\\CurrentControlSet\\Control\\Lsa\\MSV1_0\" /v BlockNtlmv1SSO\n",[317,331,333],{"class":319,"line":332},3,[317,334,336],{"emptyLinePlaceholder":335},true,"\n",[317,338,340],{"class":319,"line":339},4,[317,341,342],{},"# Windows ha auditato (4024) o bloccato (4025) le credenziali derivate da NTLMv1?\n",[317,344,346],{"class":319,"line":345},5,[317,347,348],{},"Get-WinEvent -LogName 'Microsoft-Windows-NTLM/Operational' -FilterXPath '*[System[(EventID=4024 or EventID=4025)]]' -MaxEvents 50\n",[141,350,352],{"id":351},"la-soluzione-temporanea-imposta-blockntlmv1sso-a-0","La soluzione temporanea: imposta BlockNtlmv1SSO a 0",[146,354,355],{},"Puoi riportare i dispositivi interessati in modalità Audit. Windows consente di nuovo le credenziali derivate da NTLMv1 e registra ogni utilizzo con l'Event ID 4024.",[194,357,359],{"className":358,"style":198},[197],[200,360,202,361],{},[204,362,363,202,371,202,395,202,403,202,411],{},[207,364,209,365,209,368,202],{},[211,366,367],{},"Impostazione",[211,369,370],{},"Valore",[207,372,209,373,209,376,202],{},[220,374,375],{},"Chiave",[220,377,378,379,382,383,385,386,388,389,391,392,394],{},"HKEY_LOCAL_MACHINE\\",[380,381],"wbr",{},"SYSTEM\\",[380,384],{},"CurrentControlSet\\",[380,387],{},"Control\\",[380,390],{},"Lsa\\",[380,393],{},"MSV1_0",[207,396,209,397,209,400,202],{},[220,398,399],{},"Nome valore",[220,401,402],{},"BlockNtlmv1SSO",[207,404,209,405,209,408,202],{},[220,406,407],{},"Tipo",[220,409,410],{},"REG_DWORD",[207,412,209,413,209,416,202],{},[220,414,415],{},"Dati",[220,417,418],{},"0 = Audit (consentito, Event ID 4024), 1 = Enforce (bloccato, Event ID 4025)",[146,420,421],{},[155,422,423],{},"Riga di comando",[307,425,427],{"className":309,"code":426,"language":311,"meta":312,"style":312},"reg add \"HKLM\\SYSTEM\\CurrentControlSet\\Control\\Lsa\\MSV1_0\" /v BlockNtlmv1SSO /t REG_DWORD /d 0 /f\n",[314,428,429],{"__ignoreMap":312},[317,430,431],{"class":319,"line":320},[317,432,426],{},[146,434,435,438],{},[155,436,437],{},"Remediation con Intune"," (eseguire nel contesto di sistema)",[307,440,442],{"className":309,"code":441,"language":311,"meta":312,"style":312},"# Script di rilevamento: conforme solo se BlockNtlmv1SSO è esplicitamente impostato a 0\n$v = (Get-ItemProperty -Path 'HKLM:\\SYSTEM\\CurrentControlSet\\Control\\Lsa\\MSV1_0' -Name 'BlockNtlmv1SSO' -ErrorAction SilentlyContinue).BlockNtlmv1SSO\nif ($v -eq 0) { exit 0 } else { exit 1 }\n",[314,443,444,449,454],{"__ignoreMap":312},[317,445,446],{"class":319,"line":320},[317,447,448],{},"# Script di rilevamento: conforme solo se BlockNtlmv1SSO è esplicitamente impostato a 0\n",[317,450,451],{"class":319,"line":326},[317,452,453],{},"$v = (Get-ItemProperty -Path 'HKLM:\\SYSTEM\\CurrentControlSet\\Control\\Lsa\\MSV1_0' -Name 'BlockNtlmv1SSO' -ErrorAction SilentlyContinue).BlockNtlmv1SSO\n",[317,455,456],{"class":319,"line":332},[317,457,458],{},"if ($v -eq 0) { exit 0 } else { exit 1 }\n",[307,460,462],{"className":309,"code":461,"language":311,"meta":312,"style":312},"# Script di correzione\nNew-ItemProperty -Path 'HKLM:\\SYSTEM\\CurrentControlSet\\Control\\Lsa\\MSV1_0' -Name 'BlockNtlmv1SSO' -PropertyType DWord -Value 0 -Force | Out-Null\n",[314,463,464,469],{"__ignoreMap":312},[317,465,466],{"class":319,"line":320},[317,467,468],{},"# Script di correzione\n",[317,470,471],{"class":319,"line":326},[317,472,473],{},"New-ItemProperty -Path 'HKLM:\\SYSTEM\\CurrentControlSet\\Control\\Lsa\\MSV1_0' -Name 'BlockNtlmv1SSO' -PropertyType DWord -Value 0 -Force | Out-Null\n",[146,475,476],{},"Per i dispositivi aggiunti al dominio, utilizza un elemento del registro di Group Policy Preferences con la stessa chiave, nome del valore, tipo e dati.",[281,478,480],{"id":479},"perché-si-tratta-solo-di-una-soluzione-temporanea","Perché si tratta solo di una soluzione temporanea",[159,482,483,489,495,501],{},[162,484,485,488],{},[155,486,487],{},"Riapre un percorso debole."," Microsoft afferma che gli endpoint basati su MS-CHAPv2 \"sono soggetti a rischi simili a quelli che interessano NTLMv1\" e consiglia che questa impostazione \"debba essere valutata attentamente e non usata a lungo termine\".",[162,490,491,494],{},[155,492,493],{},"Non aiuta i dispositivi con Credential Guard."," Questi bloccano l'SSO con MS-CHAPv2 indipendentemente da questa impostazione.",[162,496,497,500],{},[155,498,499],{},"I dispositivi offline non possono ricevere la policy."," I dispositivi che hanno già perso l'accesso alla rete potrebbero aver bisogno di una rete cablata o guest per ricevere l'impostazione.",[162,502,503,506],{},[155,504,505],{},"Disinstallare l'aggiornamento non è un'alternativa."," Lascerebbe i tuoi dispositivi senza le patch di sicurezza del mese.",[146,508,509],{},"Usa la soluzione temporanea per guadagnare tempo, assegnale una data di scadenza documentata e utilizza quel tempo per migrare.",[141,511,513],{"id":512},"il-fix-definitivo-eap-tls-al-posto-delle-password","Il fix definitivo: EAP-TLS al posto delle password",[146,515,516],{},"Microsoft raccomanda di eliminare la dipendenza da MS-CHAPv2 e di spostare le connessioni Wi-Fi e VPN all'autenticazione basata su certificati con EAP-TLS. Il dispositivo o l'utente dimostra la propria identità con un certificato e una chiave privata invece di una password, e la chiave privata può essere protetta dal TPM.",[194,518,520],{"className":519,"style":198},[197],[200,521,202,522],{},[204,523,524,202,534,202,545,202,556,202,565,202,574,202,584,202,593],{},[207,525,209,526,209,528,209,531,202],{},[211,527],{},[211,529,530],{},"PEAP-MSCHAPv2",[211,532,533],{},"EAP-TLS",[207,535,209,536,209,539,209,542,202],{},[220,537,538],{},"Credenziale del client",[220,540,541],{},"Password (basata su hash NT)",[220,543,544],{},"Certificato X.509 e chiave privata",[207,546,209,547,209,550,209,553,202],{},[220,548,549],{},"Dipende dalla crittografia dell'era NTLM",[220,551,552],{},"Sì",[220,554,555],{},"No",[207,557,209,558,209,561,209,563,202],{},[220,559,560],{},"Interessato da KB5127648 e Credential Guard",[220,562,552],{},[220,564,555],{},[207,566,209,567,209,570,209,572,202],{},[220,568,569],{},"La reimpostazione della password può interrompere la connettività",[220,571,552],{},[220,573,555],{},[207,575,209,576,209,579,209,581,202],{},[220,577,578],{},"Esposto alla cattura delle credenziali e al cracking offline",[220,580,552],{},[220,582,583],{},"Nessuna password da rubare",[207,585,209,586,209,589,209,591,202],{},[220,587,588],{},"Vincola l'accesso a un dispositivo gestito",[220,590,555],{},[220,592,552],{},[207,594,209,595,209,598,209,601,202],{},[220,596,597],{},"Indicazione di Microsoft",[220,599,600],{},"Migrare",[220,602,603],{},"Raccomandato",[146,605,606],{},"Oltre a risolvere l'interruzione, si ottiene una migliore esperienza utente e una postura di sicurezza più solida.",[281,608,610],{"id":609},"perché-così-tante-reti-funzionano-ancora-con-le-password","Perché così tante reti funzionano ancora con le password",[146,612,613,614,252],{},"Il protocollo non è la parte difficile. Lo è la PKI. La configurazione classica include AD CS, NDES, l'Intune Certificate Connector, un application proxy, la pubblicazione della CRL, l'alta disponibilità e il patching. Sono molti componenti solo per mettere un certificato su un laptop, ed è per questo che molti team hanno rimandato la migrazione per anni. Approfondisci nel post ",[246,615,617],{"href":616},"adcs-alternatives","Microsoft ADCS Alternatives in 2026",[281,619,621],{"id":620},"come-scepman-elimina-la-complessità-della-pki","Come SCEPman elimina la complessità della PKI",[146,623,624],{},"SCEPman è un'autorità di certificazione nativa di Azure che gira interamente nel tuo tenant Azure, con le chiavi in Azure Key Vault.",[159,626,627,633,639,645,651],{},[162,628,629,632],{},[155,630,631],{},"Avvio rapido:"," Distribuisci tramite Azure Marketplace, template ARM o Terraform. La maggior parte dei team emette il primo certificato in meno di un'ora.",[162,634,635,638],{},[155,636,637],{},"Dispositivi gestiti:"," Microsoft Intune, Jamf Pro e altri MDM emettono e rinnovano automaticamente i certificati di dispositivi e utenti tramite SCEP.",[162,640,641,644],{},[155,642,643],{},"Validazione in tempo reale:"," I certificati sono associati all'oggetto utente o dispositivo e verificati tramite OCSP. Quando un'identità cambia, l'accesso viene revocato automaticamente.",[162,646,647,650],{},[155,648,649],{},"Compatibile con la tua rete:"," SCEPman supporta Cisco e Meraki, HPE Aruba, Fortinet, Juniper e altri, e funziona con il tuo server RADIUS esistente.",[162,652,653,656],{},[155,654,655],{},"Nessun server RADIUS necessario:"," Combinato con RADIUSaaS, ottieni una soluzione completamente cloud-native per l'accesso Wi-Fi, LAN e VPN basato su certificati.",[141,658,660],{"id":659},"il-percorso-di-migrazione-in-sei-passi","Il percorso di migrazione in sei passi",[662,663,664,670,676,682,688,694],"ol",{},[162,665,666,669],{},[155,667,668],{},"Fai un inventario."," Individua quali SSID, policy 802.1X cablate e profili VPN usano ancora MS-CHAPv2. Gli Event ID 4024 e 4025 mostrano quali dispositivi ne dipendono.",[162,671,672,675],{},[155,673,674],{},"Guadagna tempo dove necessario."," Imposta BlockNtlmv1SSO a 0 sui dispositivi critici, ma documentalo e assegna una data di scadenza.",[162,677,678,681],{},[155,679,680],{},"Distribuisci SCEPman"," e distribuisci il suo certificato CA radice, tramite un profilo di certificato attendibile di Intune o tramite Group Policy.",[162,683,684,687],{},[155,685,686],{},"Distribuisci i certificati."," Emetti certificati di dispositivo (e certificati utente dove necessario) tramite Intune, Jamf Pro o altri profili SCEP MDM.",[162,689,690,693],{},[155,691,692],{},"Passa gradualmente."," Abilita EAP-TLS sul tuo server RADIUS (NPS, il tuo RADIUS esistente o RADIUSaaS) insieme a PEAP. Poi sposta i tuoi profili Wi-Fi, 802.1X e VPN a EAP-TLS un gruppo alla volta.",[162,695,696,699],{},[155,697,698],{},"Fai pulizia."," Rimuovi le policy MS-CHAPv2, poi reimposta BlockNtlmv1SSO a 1 o elimina il valore in modo che Windows utilizzi di nuovo il default sicuro:",[307,701,703],{"className":309,"code":702,"language":311,"meta":312,"style":312},"reg delete \"HKLM\\SYSTEM\\CurrentControlSet\\Control\\Lsa\\MSV1_0\" /v BlockNtlmv1SSO /f\n",[314,704,705],{"__ignoreMap":312},[317,706,707],{"class":319,"line":320},[317,708,702],{},[141,710,712],{"id":711},"conclusione","Conclusione",[146,714,715],{},"Microsoft ha preso la decisione: l'SSO di rete basato su password tramite MS-CHAPv2 non ha futuro su Windows. Puoi tamponare con una patch attorno a KB5127648 per qualche settimana, oppure puoi cogliere questo momento per passare definitivamente all'accesso basato su certificati.",[146,717,718],{},"PKI senza complicazioni. Certificati affidabili.",[720,721,722],"style",{},".cta.trial-cta { margin-bottom: 1.5rem; font-size: inherit; }",[146,724,725],{},[246,726,734,738],{"role":727,"className":728,"dataText":732,"href":733,"target":42},"button",[729,730,731],"cta","link","trial-cta","Prova SCEPman gratuitamente","https://support.scepman.com/support/tickets/new?ticket_form=trial_request_%28scepman%29",[317,735,732],{"className":736},[737],"cta__text",[317,739,745],{"className":740,"style":744},[741,742,743],"icon","icon--right","icon--arrow","--color-icon:currentColor;--icon-rotation:0deg;--icon-scale:1;",[746,747,752],"svg",{"style":748,"viewBox":749,"width":750,"height":750,"xmlns":751},"stroke:currentColor;transform:rotate(var(--icon-rotation)) scale(var(--icon-scale));","0 0 28 17","28px","http://www.w3.org/2000/svg",[753,754,756,765],"g",{"transform":755},"translate(0.75 0.75)",[757,758],"path",{"d":759,"transform":760,"fill":761,"fillRule":762,"strokeWidth":763,"strokeLineCap":764,"strokeLineJoin":764},"M0.5 0.5L26 0.5","translate(0 7)","none","evenodd","1.5","round",[757,766],{"d":767,"transform":768,"fill":761,"fillRule":762,"strokeWidth":763,"strokeLineCap":764,"strokeLineJoin":764},"M0 15L7 7.5L0 0","translate(19 0)",[141,770,51],{"id":48,"className":771},[772],"faq-heading",[194,774,778,788,796,804,812,820],{"className":775,"style":777},[776],"faq-foldable","grid-column: content;",[779,780,781,785],"details",{},[782,783,784],"summary",{},"Perché il mio Wi-Fi chiede la password dopo aver installato KB5127648?",[146,786,787],{},"KB5127648 fa sì che Windows blocchi per impostazione predefinita le credenziali derivate da NTLMv1 per il single sign-on. PEAP-MSCHAPv2 ha bisogno esattamente di quelle credenziali per accedere automaticamente con le tue credenziali Windows, quindi Windows torna a mostrare una richiesta di credenziali.",[779,789,790,793],{},[782,791,792],{},"Devo disinstallare KB5127648?",[146,794,795],{},"No. Il cambiamento è un passaggio di hardening pianificato, non un bug, e disinstallare l'aggiornamento lascia i dispositivi senza le patch di sicurezza del mese. Usa temporaneamente la soluzione temporanea con BlockNtlmv1SSO e migra a EAP-TLS.",[779,797,798,801],{},[782,799,800],{},"La soluzione con il registro aiuta sui dispositivi con Credential Guard?",[146,802,803],{},"No. Credential Guard blocca il single sign-on con MS-CHAPv2 indipendentemente da BlockNtlmv1SSO. Quei dispositivi hanno bisogno dell'autenticazione basata su certificati.",[779,805,806,809],{},[782,807,808],{},"I dispositivi macOS, iOS, Android o Linux sono interessati?",[146,810,811],{},"No. Il cambiamento riguarda Windows. I client non Windows che utilizzano PEAP-MSCHAPv2 continuano a funzionare, anche se le debolezze del protocollo si applicano comunque a loro.",[779,813,814,817],{},[782,815,816],{},"Perché i miei log RADIUS o NPS non mostrano errori?",[146,818,819],{},"Windows blocca la credenziale sul client prima che l'autenticazione venga completata. Verifica invece l'Event ID 4025 in Microsoft-Windows-NTLM/Operational sul dispositivo.",[779,821,822,825],{},[782,823,824],{},"Ho bisogno di AD CS o di una PKI on-premises per EAP-TLS?",[146,826,827],{},"No. SCEPman funziona come autorità di certificazione nel tuo tenant Azure ed emette certificati di dispositivo e utente tramite Intune, Jamf Pro e altri MDM, senza AD CS o NDES.",[720,829,830],{},"\npre {\n  grid-column: content !important;\n  box-sizing: border-box;\n  overflow-x: auto;\n  margin-bottom: 1.5rem;\n  padding: 1rem 1.25rem;\n  background: rgba(0, 0, 0, 0.04);\n  border: 1px solid rgba(0, 0, 0, 0.12);\n  font-size: 0.85rem;\n  line-height: 1.5;\n}\npre code { background: none; padding: 0; }\n.post-table { margin-bottom: 3rem; }\n.post-table table { border-collapse: collapse; width: 100%; }\n.post-table th,\n.post-table td {\n  border: 1px solid rgba(0, 0, 0, 0.15);\n  padding: 0.65rem 1rem;\n  vertical-align: top;\n  overflow-wrap: anywhere;\n  text-align: left;\n}\n.post-table th { background: rgba(0, 0, 0, 0.03); font-weight: 600; }\n.faq-heading {\n  margin-top: 4rem;\n  white-space: nowrap;\n}\n.faq-foldable {\n  margin-bottom: 4rem;\n}\n.faq-foldable details {\n  border-top: 1px solid rgba(0, 0, 0, 0.12);\n  padding: 0;\n}\n.faq-foldable details:last-of-type {\n  border-bottom: 1px solid rgba(0, 0, 0, 0.12);\n}\n.faq-foldable summary {\n  list-style: none;\n  cursor: pointer;\n  display: flex;\n  justify-content: space-between;\n  align-items: center;\n  gap: 1rem;\n  padding: 1rem 0;\n  font-weight: 600;\n}\n.faq-foldable summary::-webkit-details-marker {\n  display: none;\n}\n.faq-foldable summary::after {\n  content: \"\";\n  flex: 0 0 auto;\n  width: 1.5rem;\n  height: 0.75rem;\n  background: currentColor;\n  -webkit-mask: url(\"data:image/svg+xml,%3Csvg xmlns='http://www.w3.org/2000/svg' viewBox='0 0 24 12'%3E%3Cpolyline fill='none' stroke='%23000' stroke-width='1.5' stroke-linecap='round' stroke-linejoin='round' points='1.5 1.5 12 10.5 22.5 1.5'/%3E%3C/svg%3E\") center / contain no-repeat;\n  mask: url(\"data:image/svg+xml,%3Csvg xmlns='http://www.w3.org/2000/svg' viewBox='0 0 24 12'%3E%3Cpolyline fill='none' stroke='%23000' stroke-width='1.5' stroke-linecap='round' stroke-linejoin='round' points='1.5 1.5 12 10.5 22.5 1.5'/%3E%3C/svg%3E\") center / contain no-repeat;\n  transition: transform 0.5s cubic-bezier(0.19, 1, 0.2, 1);\n}\n.faq-foldable details[open] summary::after {\n  transform: rotate(180deg);\n}\n.faq-foldable details > *:not(summary) {\n  margin-bottom: 1rem;\n}\n.faq-foldable details[open] summary {\n  padding-bottom: 0.5rem;\n}\n",[720,832,833],{},"html .default .shiki span {color: var(--shiki-default);background: var(--shiki-default-bg);font-style: var(--shiki-default-font-style);font-weight: var(--shiki-default-font-weight);text-decoration: var(--shiki-default-text-decoration);}html .shiki span {color: var(--shiki-default);background: var(--shiki-default-bg);font-style: var(--shiki-default-font-style);font-weight: var(--shiki-default-font-weight);text-decoration: var(--shiki-default-text-decoration);}html .dark .shiki span {color: var(--shiki-dark);background: var(--shiki-dark-bg);font-style: var(--shiki-dark-font-style);font-weight: var(--shiki-dark-font-weight);text-decoration: var(--shiki-dark-text-decoration);}html.dark .shiki span {color: var(--shiki-dark);background: var(--shiki-dark-bg);font-style: var(--shiki-dark-font-style);font-weight: var(--shiki-dark-font-weight);text-decoration: var(--shiki-dark-text-decoration);}",{"title":312,"searchDepth":326,"depth":326,"links":835},[836,837,838,842,845,849,850,851],{"id":143,"depth":326,"text":144},{"id":188,"depth":326,"text":189},{"id":258,"depth":326,"text":259,"children":839},[840,841],{"id":283,"depth":332,"text":284},{"id":304,"depth":332,"text":305},{"id":351,"depth":326,"text":352,"children":843},[844],{"id":479,"depth":332,"text":480},{"id":512,"depth":326,"text":513,"children":846},[847,848],{"id":609,"depth":332,"text":610},{"id":620,"depth":332,"text":621},{"id":659,"depth":326,"text":660},{"id":711,"depth":326,"text":712},{"id":48,"depth":326,"text":51},null,"md",false,"post",{"lang":857,"seoTitle":858,"titleClass":859,"date":860,"categories":861,"blogtitlepic":862,"socialimg":863,"customExcerpt":864,"keywords":865,"asideNav":866,"maxContent":335,"footer":886},"it","PEAP-MSCHAPv2 Wi-Fi non funziona dopo KB5127648: soluzione temporanea e fix definitivo","h2-font-size","2026-10-16",[13],"header-scepman-KB5127648.png","/blog/heads/header-scepman-KB5127648.png","KB5127648 blocca per impostazione predefinita l'SSO basato su NTLMv1. Perché PEAP-MSCHAPv2 Wi-Fi, LAN e VPN smettono di funzionare, la soluzione temporanea con BlockNtlmv1SSO e il fix definitivo: EAP-TLS.","KB5127648 PEAP, BlockNtlmv1SSO, PEAP-MSCHAPv2 Windows 11, NTLMv1 SSO, MS-CHAPv2 deprecation, Event ID 4025, MC1508562, KB5066470, EAP-TLS Intune, 802.1X Wi-Fi not connecting, WPA2-Enterprise Windows update, Credential Guard MS-CHAPv2",{"menuItems":867},[868,870,872,874,877,880,882,884],{"href":869,"text":144},"#la-risposta-breve",{"href":871,"text":189},"#cosa-è-cambiato-con-kb5127648",{"href":873,"text":259},"#sei-interessato",{"href":875,"text":876},"#la-soluzione-temporanea-imposta-blockntlmv1sso-a-0","La soluzione temporanea",{"href":878,"text":879},"#il-fix-definitivo-eap-tls-al-posto-delle-password","Il fix definitivo",{"href":881,"text":660},"#il-percorso-di-migrazione-in-sei-passi",{"href":883,"text":712},"#conclusione",{"href":885,"text":51},"#faq",{"noMargin":335},"/posts/kb5127648-peap-mschapv2-eap-tls",{"title":134,"description":312},"posts/kb5127648-peap-mschapv2-eap-tls",[891,892,893,894,533,895,896,897,898],"KB5127648","NTLMv1","MS-CHAPv2","PEAP","Credential Guard","802.1X","Intune","RADIUS","cLuGlvYv6_6CBOX-IgUnJbgMk6VlwFuB4EigZNiyQ-8",{"id":901,"extension":902,"meta":903,"stem":982,"__hash__":983},"authors_data/authors.json","json",{"path":904,"Alexander Rudolph":905,"Sophie Luna":911,"Nadine Kern":917,"Thorben Pöschus":923,"Karsten Kleinschmidt":929,"Julian Wendt":935,"Holger Bunkradt":940,"Ralf Mania":946,"Oliver Kieselbach":952,"Steffen Schwerdtfeger":958,"Christoph Hannebauer":964,"body":969,"title":981},"/authors",{"display_name":906,"avatar":907,"permalink":908,"twitter":909,"linkedin":910},"Alexander Rudolph","people/people-alexander-rudolph.png","author/alexander-rudolph/","AlexanderOnIT","rudolph-alexander",{"display_name":912,"avatar":913,"permalink":914,"twitter":915,"linkedin":916},"Sophie Luna","c_thumb,h_1600,w_1600/people/people-sophie-luna.jpg","author/sophie-luna/","glueckkanjagab","company/glueckkanja-gab",{"display_name":918,"avatar":919,"permalink":920,"twitter":921,"linkedin":922},"Nadine Kern","people/people-nadine-kern.png","author/nadine-kern/","nadineausRT","nadine-kern",{"display_name":924,"avatar":925,"permalink":926,"twitter":927,"linkedin":928},"Thorben Pöschus","people/people-thorben-poeschus.png","author/thorben-poeschus/","TPO901","thorben-pöschus-624693b7",{"display_name":930,"avatar":931,"permalink":932,"twitter":933,"linkedin":934},"Karsten Kleinschmidt","people/people-karsten-kleinschmidt.png","author/karsten-kleinschmidt/","KarstenonIT","karstenkleinschmidt",{"display_name":936,"avatar":937,"permalink":938,"linkedin":939},"Julian Wendt","people/people-julian-wendt.png","author/julian-wendt/","julian-wendt",{"display_name":941,"avatar":942,"permalink":943,"linkedin":944,"twitter":945},"Holger Bunkradt","people/people-holger-bunkradt.png","author/holger-bunkradt/","holger-bunkradt-12b5053b","hbunkradt",{"display_name":947,"avatar":948,"permalink":949,"linkedin":950,"twitter":951},"Ralf Mania","people/people-ralf-mania.png","author/ralf-mania/","ralf-mania-146a2757","RaMa1976",{"display_name":953,"avatar":954,"permalink":955,"linkedin":956,"twitter":957},"Oliver Kieselbach","people/people-oliver-kieselbach.png","author/oliver-kieselbach/","oliver-kieselbach-a4a3409","okieselbT",{"display_name":959,"avatar":960,"permalink":961,"linkedin":962,"twitter":963},"Steffen Schwerdtfeger","people/people-steffen-schwerdtfeger.png","author/steffen-schwerdtfeger/","steffen-schwerdtfeger","SteffenAtCloud",{"display_name":965,"avatar":966,"permalink":967,"twitter":915,"linkedin":916,"imageOffsetTop":968},"Dr. Christoph Hannebauer","people/people-christoph-hannebauer.png","/authors/christoph-hannebauer/","72%",{"Alexander Rudolph":970,"Sophie Luna":971,"Nadine Kern":972,"Thorben Pöschus":973,"Karsten Kleinschmidt":974,"Julian Wendt":975,"Holger Bunkradt":976,"Ralf Mania":977,"Oliver Kieselbach":978,"Steffen Schwerdtfeger":979,"Christoph Hannebauer":980},{"display_name":906,"avatar":907,"permalink":908,"twitter":909,"linkedin":910},{"display_name":912,"avatar":913,"permalink":914,"twitter":915,"linkedin":916},{"display_name":918,"avatar":919,"permalink":920,"twitter":921,"linkedin":922},{"display_name":924,"avatar":925,"permalink":926,"twitter":927,"linkedin":928},{"display_name":930,"avatar":931,"permalink":932,"twitter":933,"linkedin":934},{"display_name":936,"avatar":937,"permalink":938,"linkedin":939},{"display_name":941,"avatar":942,"permalink":943,"linkedin":944,"twitter":945},{"display_name":947,"avatar":948,"permalink":949,"linkedin":950,"twitter":951},{"display_name":953,"avatar":954,"permalink":955,"linkedin":956,"twitter":957},{"display_name":959,"avatar":960,"permalink":961,"linkedin":962,"twitter":963},{"display_name":965,"avatar":966,"permalink":967,"twitter":915,"linkedin":916,"imageOffsetTop":968},"Authors","authors","PIJJchcHqfzD5YPmn4V8YLxY6gtySOfBG5u8lTczi2w",{"id":901,"extension":902,"meta":985,"stem":982,"__hash__":983},{},{"list":987,"authors":1103},[988,993,1012,1028,1042,1055,1067,1079,1091],{"id":133,"title":134,"author":989,"cta":852,"description":312,"hideInRecent":854,"layout":855,"meta":990,"moment":860,"path":887,"stem":889,"tags":992,"webcast":854},[136],{"lang":857,"date":860,"categories":991,"blogtitlepic":862,"customExcerpt":864},[13],[891,892,893,894,533,895,896,897,898],{"id":994,"title":995,"author":996,"cta":852,"description":998,"hideInRecent":854,"layout":855,"meta":999,"moment":1000,"path":1004,"stem":1005,"tags":1006,"webcast":854},"content_it/posts/private-ca-vs-public-ca.md","CA private e pubbliche: forse state usando quella sbagliata",[997],"Kevin Vo","Per un team IT sotto pressione, un'autorità di certificazione (CA) pubblica sembra spesso un martello e ogni requisito di cifratura sembra un chiodo. Ma usare una CA pubblica per qualsiasi lavoro è uno dei modi più comuni di mandare in crisi la produzione senza accorgersene.",{"lang":857,"date":1000,"categories":1001,"blogtitlepic":1002,"customExcerpt":1003},"2026-08-24",[13],"header-scepman-private-vs-public-ca.png","Entro marzo 2027 i certificati delle CA pubbliche perdono il supporto dell'autenticazione client. Ecco quando serve una CA privata e come SCEPman ne automatizza l'emissione.","/posts/private-ca-vs-public-ca","posts/private-ca-vs-public-ca",[1007,1008,1009,1010,1011],"Private CA","Public CA","PKI","Client Authentication","Certificate Authority",{"id":1013,"title":1014,"author":1015,"cta":852,"description":1016,"hideInRecent":854,"layout":855,"meta":1017,"moment":1018,"path":1022,"stem":1023,"tags":1024,"webcast":854},"content_it/posts/adcs-alternatives.md","Alternative a Microsoft ADCS nel 2026",[136],"Microsoft Active Directory Certificate Services, noto anche come ADCS, ADCA o Microsoft CA, è da anni la PKI predefinita degli ambienti Windows. Molte organizzazioni continuano ad affidarsi a questo strumento per emettere certificati per utenti, dispositivi e server.",{"lang":857,"date":1018,"categories":1019,"blogtitlepic":1020,"customExcerpt":1021},"2026-05-01",[13],"header-scepman-adcs-alternatives.png","Cercate alternative ad ADCS, ADCA o Microsoft CA? Active Directory Certificate Services aggiunge una complessità di cui gli ambienti moderni non hanno bisogno. Ecco che cosa cercare in un sostituto.","/posts/adcs-alternatives","posts/adcs-alternatives",[1025,1026,1009,1027],"ADCS","Alternatives","Active Directory Certificate Services",{"id":1029,"title":1030,"author":1031,"cta":852,"description":1032,"hideInRecent":854,"layout":855,"meta":1033,"moment":1018,"path":1037,"stem":1038,"tags":1039,"webcast":854},"content_it/posts/microsoft-cloud-pki-alternatives.md","Alternative a Microsoft Cloud PKI nel 2026",[136],"Microsoft Cloud PKI è pensato per emettere certificati sui dispositivi gestiti con Intune. Funziona bene per la gestione di dispositivi mobili ed endpoint negli ambienti incentrati su Microsoft.",{"lang":857,"date":1018,"categories":1034,"blogtitlepic":1035,"customExcerpt":1036},[13],"header-scepman-cloud-pki-alternatives.png","Cercate alternative a Microsoft Cloud PKI? Cloud PKI copre solo i dispositivi gestiti con Intune: niente Linux, niente server, niente IoT. Ecco dove si ferma e che cosa cercare in un sostituto.","/posts/microsoft-cloud-pki-alternatives","posts/microsoft-cloud-pki-alternatives",[1040,1026,1041,1009],"Microsoft Cloud PKI","Microsoft Intune",{"id":1043,"title":1044,"author":1045,"cta":852,"description":312,"hideInRecent":854,"layout":855,"meta":1046,"moment":1047,"path":1051,"stem":1052,"tags":1053,"webcast":854},"content_it/posts/microsoft-cloud-pki-iot-certificates.md","Creare certificati IoT con Microsoft Cloud PKI: alternative e soluzioni",[136],{"lang":857,"date":1047,"categories":1048,"blogtitlepic":1049,"customExcerpt":1050},"2026-03-25",[13],"header-scepman-iot-certificates.png","Cercate un modo per creare e gestire certificati per i dispositivi IoT con Microsoft Cloud PKI? Purtroppo Microsoft Cloud PKI non supporta i certificati IoT. Per progettazione supporta solo i dispositivi gestiti con Intune.","/posts/microsoft-cloud-pki-iot-certificates","posts/microsoft-cloud-pki-iot-certificates",[1040,1054,1041],"IoT Certificates",{"id":1056,"title":1057,"author":1058,"cta":852,"description":312,"hideInRecent":854,"layout":855,"meta":1059,"moment":1047,"path":1063,"stem":1064,"tags":1065,"webcast":854},"content_it/posts/microsoft-cloud-pki-linux-certificates.md","Creare certificati per endpoint Linux con Microsoft Cloud PKI: alternative e soluzioni",[136],{"lang":857,"date":1047,"categories":1060,"blogtitlepic":1061,"customExcerpt":1062},[13],"header-scepman-linux-endpoint-certificates.png","Cercate una soluzione per creare e gestire certificati per gli endpoint Linux con Microsoft Cloud PKI? Purtroppo Microsoft Cloud PKI non supporta i certificati per gli endpoint Linux.","/posts/microsoft-cloud-pki-linux-certificates","posts/microsoft-cloud-pki-linux-certificates",[1040,1066,1041],"Linux Endpoint Certificates",{"id":1068,"title":1069,"author":1070,"cta":852,"description":312,"hideInRecent":854,"layout":855,"meta":1071,"moment":1047,"path":1075,"stem":1076,"tags":1077,"webcast":854},"content_it/posts/microsoft-cloud-pki-manually-issuing-certificates.md","Emettere manualmente certificati con Microsoft Cloud PKI: alternative e soluzioni",[136],{"lang":857,"date":1047,"categories":1072,"blogtitlepic":1073,"customExcerpt":1074},[13],"header-scepman-manual-certificates.png","Dovete emettere manualmente certificati per scenari specifici, come la protezione dei server web, la firma del codice o altri casi d'uso? Purtroppo Microsoft Cloud PKI non supporta l'emissione manuale dei certificati. Per progettazione supporta solo i dispositivi gestiti con Intune.","/posts/microsoft-cloud-pki-manually-issuing-certificates","posts/microsoft-cloud-pki-manually-issuing-certificates",[1040,1078,1041],"Manually Issued Certificates",{"id":1080,"title":1081,"author":1082,"cta":852,"description":312,"hideInRecent":854,"layout":855,"meta":1083,"moment":1047,"path":1087,"stem":1088,"tags":1089,"webcast":854},"content_it/posts/microsoft-cloud-pki-network-device-certificates.md","Creare certificati per i dispositivi di rete con Microsoft Cloud PKI: alternative e soluzioni",[136],{"lang":857,"date":1047,"categories":1084,"blogtitlepic":1085,"customExcerpt":1086},[13],"header-scepman-certificates-network-devices.png","Cercate una soluzione per creare e gestire certificati per i dispositivi di rete con Microsoft Cloud PKI? Purtroppo Microsoft Cloud PKI non supporta i certificati per i dispositivi di rete. Per progettazione supporta solo i dispositivi gestiti con Intune.","/posts/microsoft-cloud-pki-network-device-certificates","posts/microsoft-cloud-pki-network-device-certificates",[1040,1090,1041],"Network Device Certificates",{"id":1092,"title":1093,"author":1094,"cta":852,"description":312,"hideInRecent":854,"layout":855,"meta":1095,"moment":1047,"path":1099,"stem":1100,"tags":1101,"webcast":854},"content_it/posts/microsoft-cloud-pki-server-certificates.md","Creare certificati per server con Microsoft Cloud PKI: alternative e soluzioni",[136],{"lang":857,"date":1047,"categories":1096,"blogtitlepic":1097,"customExcerpt":1098},[13],"header-scepman-server-certificates.png","Cercate un modo per creare certificati per server con Microsoft Cloud PKI? Molte organizzazioni si affidano alle soluzioni PKI di Microsoft per la gestione dei certificati, ma c'è un limite significativo: Microsoft Cloud PKI non supporta i certificati per server. Per progettazione supporta solo i dispositivi gestiti con Intune.","/posts/microsoft-cloud-pki-server-certificates","posts/microsoft-cloud-pki-server-certificates",[1040,1102,1041],"Server Certificates",{},1792170602202]