Schematische Übersicht zur NTLMv1-SSO-Änderung ab Oktober 2026: Audit, Erzwingung und zertifikatsbasierte Zielkonfiguration

SSO NTLMv1: проверьте вход по Wi-Fi, LAN и VPN после октябрьского обновления

Статус исследования: 2 ноября 2026 г.Microsoft изменила поведение по умолчанию для некоторых учетных данных, полученных из NTLMv1, в обновлении безопасности от 13 октября 2026 г. Особенно могут пострадать подключенные к домену устройства Windows, использующие систему единого входа на основе MS-CHAPv2 для WLAN, Ethernet или VPN. Это не означает, что каждое сетевое соединение выходит из строя: решающее значение имеют конкретная цепочка аутентификации, состояние устройства и Credential Guard.

Schematische Übersicht zur NTLMv1-SSO-Änderung ab Oktober 2026: Audit, Erzwingung und zertifikatsbasierte Zielkonfiguration
Собственный обзор фактов на основе документации Microsoft; схематическое изображение, а не скриншот производителя.

Краткое заключение

На устройствах с отключенным Credential Guard и не установленным значением реестраBlockNtlmv1SSOПосле октябрьского обновления вместо аудита применяется Enforce. Затем Windows блокирует определенные запросы SSO, производные от NTLMv1. ИТ-команды должны сначала регистрировать событияMicrosoft-Windows-NTLM/Operationalоценить и назначить затронутые профили и серверы аутентификации. Устойчивый способ — уменьшить зависимость от системы единого входа MS-CHAPv2 и, при необходимости, перейти на процедуры на основе сертификатов, такие как PEAP-TLS или EAP-TLS. Исключение в режиме аудита должно быть ограничено по времени и задокументировано.

Что изменилось в октябре 2026 года

Windows 11 24H2, 25H2, 26H1 и 26H2, а также Windows Server 2025 упоминаются в текущем обзоре приложений Microsoft. Изменение затрагивает устройства без активированного Credential Guard, еслиBlockNtlmv1SSOне установлен. До октябрьского обновления этот случай регистрировался и разрешался по умолчанию; при обновлении заблокирован по умолчанию. Само обновление не создает и не изменяет значение реестра. Значение, которое уже было установлено, остается актуальным.

Режим протокола NTLMv1 удален из упомянутых версий Windows. Однако Microsoft описывает остаточную криптографию на основе NTLMv1 в определенных сценариях MS-CHAPv2, таких как PEAP-MSCHAPv2 и EAP-MSCHAPv2 в доменной среде. Вот почему это может повлиять на вход в систему, даже если у администраторов больше не настроен классический NTLMv1.

Правильно различайте три состояния.

конфигурация Поведение при сопоставлении запросов SSO Примечание по диагностике
Значение отсутствует до октябрьского обновления. По умолчанию аудит: запрос регистрируется и утверждается. Событие предупреждения 4024 может указывать на зависимость.
Значение отсутствует после октябрьского обновления По умолчанию Enforce: запрос блокируется, если изменение применимо к устройству. Проверьте событие ошибки 4025 в рабочем журнале NTLM.
BlockNtlmv1SSO=0 Режим аудита: запросы утверждаются и регистрируются. Рассматривайте только как временное, узко определенное исключение.
BlockNtlmv1SSO=1 Принудительный режим: соответствующие запросы блокируются. Эквивалент принудительного исполнения; Контролируемое развертывание после миграции.

Документированный путьHKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlLsaMSV1_0; значение представляет собойREG_DWORD. По словам Microsoft, после изменения этого значения перезагрузка не требуется. Прежде чем вносить изменения в реестр или политику, администраторы должны рассмотреть возможность централизованного управления конфигурацией и утверждения изменений.

Schematischer Prüfpfad für NTLMv1-SSO-Abhängigkeiten in WLAN, Ethernet und VPN
Собственный схематический контрольный журнал: сначала захватите устройства и события, затем назначьте цепочку аутентификации и протестируйте миграцию.

Вот как администраторы проверяют причину

  1. Ограничить группу устройств:Запишите версию Windows, установленный октябрьский уровень безопасности, статус домена и статус Credential Guard. Новое стандартное изменение не применяется одинаково ко всем устройствам.
  2. Оцените события NTLM:В средстве просмотра событий найдите 4024 (аудит) и 4025 (блокировка) в разделе «Журналы приложений и служб» > Microsoft > Windows > NTLM > Operational. Время события, целевой сервер и имя процесса помогают при сопоставлении.
  3. Проверьте сетевой путь:Сопоставьте затронутый SSID, проводной профиль 802.1X или профиль VPN с RADIUS/NPS и настройками аутентификации. Одного MS-CHAPv2 недостаточно для доказательства ошибки; Решающим фактором является конкретное использование SSO.
  4. Перенести тестовую группу:Выберите небольшую группу устройств и пользователей с командой сети и идентификации. Настройте аутентификацию на основе сертификатов, откат документов и путь поддержки и развертывайте их более широко только после успешного тестирования.

Рекомендуемый путь перехода и соображения

Microsoft рекомендует определить зависимости от MS-CHAPv2 и переключить входы WLAN и VPN на процедуры на основе сертификатов. В примечаниях Credential Guard Microsoft называет PEAP-TLS и EAP-TLS альтернативами PEAP-MSCHAPv2 и EAP-MSCHAPv2 соответственно.

  • Преимущество изменения:Регистрация больше не зависит от описанного пути SSO, производного от NTLMv1.
  • Планирование усилий:Серверы выдачи, продления сертификатов, подготовки устройств и аутентификации должны соответствовать друг другу и быть протестированы.
  • Переходное исключение: BlockNtlmv1SSO=0По инструкции Microsoft может временно разрешить критическую зависимость, но снижает защиту. Область применения устройства, ответственное лицо, дата истечения срока действия и этап миграции указаны в документации по исключениям.

Не путайте автоматически 4024/4025 с событиями Credential Guard: Microsoft перечисляет свои собственные идентификаторы событий для блоков Credential Guard. Поэтому перед определением причины проверьте источник событий, журнал и состояние устройства.

Контрольный список перед внедрением

  • Устройства с соответствующей версией Windows и октябрьским обновлением зарегистрированы.
  • Credential Guard и существующиеBlockNtlmv1SSO-Значения считываются
  • События 4024/4025, коррелирующие с процессом, целевым сервером и профилем сети.
  • WLAN, Ethernet и VPN рассматриваются отдельно.
  • Профиль сертификата, продление и восстановление протестированы в пилотной группе.
  • Временные исключения с указанием срока действия и ответственного лица

Часто задаваемые вопросы

Все ли WLAN с MS-CHAPv2 выходят из строя после обновления?

Нет. По мнению Microsoft, это изменение может повлиять на применимые процессы единого входа; Согласно FAQ, ввод данных доступа вручную по-прежнему работает. Какое соединение затронуто, необходимо проверить в зависимости от конкретной среды и событий.

Изменяет ли обновление мой реестр?

Нет. Microsoft утверждает, что обновление не создает и не изменяет значение. Если он отсутствует, только внутренний стандарт на затронутых устройствах меняется с Audit на Enforce.

Это ошибка октябрьского обновления?

Microsoft описывает эту меру как запланированное ужесточение безопасности, а не как известную ошибку в обновлении. Неудачный вход в систему по-прежнему должен диагностироваться на основе событий и цепочки аутентификации.

Источники и примечания к испытаниям

Инструкции представляют собой оценку документации Microsoft, а не измерение или независимый лабораторный тест. Технические заявления проверены по состоянию на 2 ноября 2026 г. с использованием следующих источников:

Было проверено соответствующее официальное поясняющее видео, но в ходе исследования не было обнаружено достаточно конкретного, проверенного видео для этого конкретного изменения NTLMv1-SSO; поэтому видео не встраивается. Автор: TechDesk ЧП Digital.Networks.

Вернуться к блогу

Комментировать