Microsoft is NTLM aan het afbouwen ten gunste van Kerberos voor sterkere authenticatie

14 oktober 2023redactiekamerAuthenticatie/eindpuntbeveiliging

Dit heeft Microsoft bekendgemaakt Plannen Om NT LAN Manager te elimineren (NTLM) in Windows 11 in de toekomst, omdat het zich richt op alternatieve authenticatiemethoden en verbeterde beveiliging.

“De focus ligt op het verbeteren van het Kerberos-authenticatieprotocol, dat sinds 2000 de standaard is, en het verminderen van de afhankelijkheid van NT LAN Manager (NTLM)”, aldus de technologiegigant. “Nieuwe functies van Windows 11 zijn onder meer onbewerkte authenticatie, pass-through-authenticatie met behulp van Kerberos (IAKerb) en een lokaal sleuteldistributiecentrum (Center for Disease Control) voor Kerberos.”

Met IAKerb kunnen clients zich authenticeren met Kerberos via verschillende netwerktopologieën. De tweede functie, Kerberos Local Key Distribution Center (KDC), breidt Kerberos-ondersteuning uit voor lokale accounts.

NTLM werd voor het eerst geïntroduceerd in de jaren negentig Een reeks beveiligingsprotocollen Het is bedoeld om gebruikers authenticatie, integriteit en vertrouwelijkheid te bieden. Het is een tool voor eenmalige aanmelding (SSO) op basis van een challenge-responsprotocol dat aan de server of domeincontroller bewijst dat de gebruiker het wachtwoord kent dat aan het account is gekoppeld.

Het is sindsdien vervangen door een ander authenticatieprotocol genaamd Kerberos sinds de release van Windows 2000, hoewel NTLM nog steeds als fallback-mechanisme wordt gebruikt.

“Het belangrijkste verschil tussen NTLM en Kerberos is de manier waarop de twee protocollen de authenticatie beheren. NTLM vertrouwt op een drieweghandshake tussen client en server om de gebruiker te authenticeren”, CrowdStrike Opmerkingen. “Kerberos maakt gebruik van een tweedelig proces dat gebruik maakt van een ticketuitgifteservice of een sleuteldistributiecentrum.”

Een ander belangrijk onderscheid is dat terwijl NTLM afhankelijk is van het hashen van wachtwoorden, Kerberos gebruik maakt van encryptie.

Naast NTLM Latente beveiligingsproblemen,De technologie is kwetsbaar geworden voor relay-aanvallen, waardoor slechte actoren de kans krijgen Authenticatiepogingen onderscheppen En verdien Ongeautoriseerde toegang voor netwerkbronnen.

Microsoft zei dat het ook werkt aan het aanpakken van hardgecodeerde exemplaren van NTLM in zijn componenten ter voorbereiding op de overgang naar het uiteindelijk uitschakelen van NTLM in Windows 11, en voegde eraan toe dat het verbeteringen aanbrengt die het gebruik van Kerberos in plaats van NTLM aanmoedigen.

“Al deze veranderingen zullen standaard worden ingeschakeld en vereisen voor de meeste scenario’s geen configuratie”, zegt Matthew Balko, Chief Product Management Officer voor Enterprise en Security van Microsoft. “NTLM blijft beschikbaar als alternatief om de huidige compatibiliteit te behouden.”