SSO NTLMv1 : vérifier les connexions Wi-Fi, LAN et VPN après la mise à jour d’octobre
Statut de recherche : 2 novembre 2026.Microsoft a modifié le comportement par défaut de certaines informations d'identification dérivées de NTLMv1 avec la mise à jour de sécurité du 13 octobre 2026. Les appareils Windows appartenant à un domaine qui utilisent l'authentification unique basée sur MS-CHAPv2 pour le WLAN, Ethernet ou VPN peuvent être particulièrement affectés. Cela ne signifie pas que chaque connexion réseau échoue : la chaîne d'authentification spécifique, l'état de l'appareil et Credential Guard sont cruciaux.
Brève conclusion
Sur les appareils sur lesquels Credential Guard est désactivé et la valeur de registre n'est pas définieBlockNtlmv1SSOAprès la mise à jour d'octobre, Enforce s'applique à la place d'Audit. Windows bloque ensuite certaines requêtes SSO dérivées de NTLMv1. Les équipes informatiques doivent d'abord enregistrer les événementsMicrosoft-Windows-NTLM/Operationalévaluer et attribuer les profils et les serveurs d'authentification concernés. La solution durable consiste à réduire la dépendance à l'authentification unique MS-CHAPv2 et, le cas échéant, à passer à des procédures basées sur des certificats telles que PEAP-TLS ou EAP-TLS. Une exception en mode audit doit être limitée dans le temps et documentée.
Ce qui a changé en octobre 2026
Windows 11 24H2, 25H2, 26H1 et 26H2 ainsi que Windows Server 2025 sont mentionnés dans l'aperçu actuel des applications de Microsoft. Le changement affecte les appareils sans Credential Guard activé siBlockNtlmv1SSOn’est pas défini. Avant la mise à jour d'octobre, ce cas était enregistré et autorisé par défaut ; avec la mise à jour est bloqué par défaut. La mise à jour elle-même ne crée ni ne modifie la valeur de registre. Une valeur déjà définie reste pertinente.
Le mode de protocole NTLMv1 a été supprimé des versions Windows mentionnées. Toutefois, Microsoft décrit la cryptographie résiduelle dérivée de NTLMv1 dans certains scénarios MS-CHAPv2, tels que PEAP-MSCHAPv2 et EAP-MSCHAPv2 dans un environnement de domaine. C'est pourquoi une connexion peut être affectée même si les administrateurs n'ont plus configuré de NTLMv1 classique.
Distinguer correctement les trois états
| configuration | Comportement pour faire correspondre les requêtes SSO | Remarque sur le diagnostic |
|---|---|---|
| Valeur manquante, avant la mise à jour d'octobre | Par défaut Audit : la demande est enregistrée et approuvée. | L'événement d'avertissement 4024 peut indiquer une dépendance. |
| Valeur manquante après la mise à jour d'octobre | Par défaut Appliquer : la demande est bloquée si la modification s'applique à l'appareil. | Vérifiez l'événement d'erreur 4025 dans le journal opérationnel NTLM. |
BlockNtlmv1SSO=0 |
Mode audit : les demandes sont approuvées et enregistrées. | Considérez-le uniquement comme une exception temporaire et étroitement définie. |
BlockNtlmv1SSO=1 |
Mode Enforce : les demandes correspondantes sont bloquées. | Équivalent à l’application de la loi ; Déployez de manière contrôlée après la migration. |
Le chemin documenté estHKEY_LOCAL_MACHINE; la valeur est unREG_DWORD. Selon Microsoft, un redémarrage n'est pas nécessaire après avoir modifié cette valeur. Avant d'apporter des modifications au registre ou aux politiques, les administrateurs doivent prendre en compte leur gestion centrale de la configuration et les approbations des modifications.
Voici comment les administrateurs vérifient la cause
- Limiter le groupe d'appareils :Enregistrez la version de Windows, le niveau de sécurité installé en octobre, l'état du domaine et l'état de Credential Guard. Le nouveau changement de norme ne s’applique pas de la même manière à tous les appareils.
- Évaluez les événements NTLM :Dans l'Observateur d'événements, recherchez 4024 (Audit) et 4025 (Bloc) sous Journaux d'applications et de services > Microsoft > Windows > NTLM > Opérationnel. L'heure de l'événement, le serveur cible et le nom du processus facilitent le mappage.
- Vérifiez le chemin du réseau :Faites correspondre le SSID concerné, le profil 802.1X filaire ou le profil VPN avec RADIUS/NPS et les paramètres d'authentification. MS-CHAPv2 seul ne suffit pas comme preuve d’erreur ; Le facteur décisif est l'utilisation spécifique de SSO.
- Migrer le groupe de test :Sélectionnez un petit groupe d’appareils et d’utilisateurs avec l’équipe réseau et identité. Configurez l'authentification basée sur les certificats, la restauration des documents et le chemin de support, et ne les déployez plus largement qu'après des tests réussis.
Chemin de transition recommandé et considérations
Microsoft recommande d'identifier les dépendances sur MS-CHAPv2 et de basculer les connexions WLAN et VPN vers des procédures basées sur des certificats. Dans les notes de Credential Guard, Microsoft nomme respectivement PEAP-TLS et EAP-TLS comme alternatives à PEAP-MSCHAPv2 et EAP-MSCHAPv2.
- Avantage du changement :L’enregistrement ne repose plus sur le chemin SSO décrit dérivé de NTLMv1.
- Effort de planification :Les serveurs d'émission, de renouvellement, de provisionnement des appareils et d'authentification des certificats doivent s'assembler et être testés.
-
Exception transitoire :
BlockNtlmv1SSO=0Selon les instructions de Microsoft, peut autoriser temporairement une dépendance critique, mais diminue la protection. La portée de l'appareil, la personne responsable, la date d'expiration et l'étape de migration appartiennent à la documentation des exceptions.
Ne confondez pas automatiquement 4024/4025 avec les événements Credential Guard : Microsoft répertorie ses propres identifiants d'événement pour les blocs Credential Guard. Par conséquent, vérifiez la source de l'événement, le journal et l'état du périphérique avant de déterminer une cause.
Liste de contrôle avant le déploiement
- Appareils dotés de la version Windows appropriée et de la mise à jour d'octobre répertoriés
- Credential Guard et existant
BlockNtlmv1SSO-Valeurs lues - Événements 4024/4025 corrélés au processus, au serveur cible et au profil réseau
- WLAN, Ethernet et VPN considérés séparément
- Profil de certificat, renouvellement et restauration testés dans un groupe pilote
- Exceptions temporaires fournies avec date d'expiration et personne responsable
Questions fréquemment posées
Est-ce que chaque WLAN avec MS-CHAPv2 échoue après la mise à jour ?
Non. Selon Microsoft, le changement peut affecter les flux d'authentification unique applicables ; Selon la FAQ, les données d'accès saisies manuellement fonctionnent toujours. La connexion affectée doit être vérifiée en fonction de l'environnement et des événements spécifiques.
La mise à jour modifie-t-elle mon registre ?
Non. Microsoft indique que la mise à jour ne crée ni ne modifie la valeur. S'il est manquant, seule la norme interne sur les appareils concernés passe d'Audit à Enforce.
Est-ce un bug de la mise à jour d'octobre ?
Microsoft décrit la mesure comme un renforcement de sécurité planifié et non comme une erreur connue dans la mise à jour. Un échec de connexion doit toujours être diagnostiqué en fonction des événements et de la chaîne d'authentification.
Sources et notes de tests
Les instructions constituent une évaluation de la documentation Microsoft et non une mesure ou un test en laboratoire indépendant. Les déclarations techniques ont été vérifiées au 2 novembre 2026 à l'aide des sources suivantes :
- Support Microsoft : gérer les modifications de NTLMv1 et éviter les problèmes d'authentification réseau sous Windows (KB5066470)
- Microsoft Learn : Considérations et problèmes connus lors de l'utilisation de Credential Guard
- Microsoft Learn : CSP de stratégie - LocalPoliciesSecurityOptions
- Microsoft Learn : Centre de messagerie Windows, annonce du 14 octobre 2026
Une vidéo explicative officielle appropriée a été vérifiée, mais la recherche n'a pas trouvé de vidéo suffisamment spécifique et vérifiée pour ce changement spécifique de NTLMv1-SSO ; donc aucune vidéo n'est intégrée. Auteur : TechDesk PE Digital.Networks.