Microsoft начала поэтапно усиливать защиту NTLM — протокола сетевой аутентификации Windows. После обновления клиенты Windows по умолчанию предлагают подпись сообщений для всех неанонимных NTLM-подключений. С мая 2027 года компания планирует изменить и настройки Windows Server: серверы по умолчанию будут отклонять клиентов, которые не используют подпись.
Подпись помогает защитить обмен сообщениями от подмены и снизить риск атак с ретрансляцией NTLM, при которых злоумышленник пытается выдать себя за пользователя. Как поясняет Microsoft в документе KB5135557, прежний механизм ALWAYS_SIGN мог создавать 16-байтное поле подписи без криптографической защиты. Обновление нацелено на согласование настоящей подписи с ключом сеанса.
Первый этап начался 10 ноября 2026 года. Пока серверы по умолчанию принимают как подписанные, так и неподписанные подключения. Администраторы могут найти клиентов, которым потребуется настройка перед вторым этапом, по событиям 4022 и 4023 в журнале Microsoft-Windows-NTLM / Operational. По данным IT Home, проверять нужно наличие согласованной подписи и ключа сеанса.
Изменения касаются NTLM, но не Kerberos. Требование подписи не распространяется на анонимные подключения и подключения гостевых учётных записей. Если клиент обращается к старому серверу без поддержки настоящей подписи, он может вернуться к прежнему режиму ALWAYS_SIGN — само обновление клиента не должно разрывать такое соединение. Обновление охватывает перечисленные Microsoft версии Windows 11, Windows 10 Enterprise LTSC 2021 и Windows Server 2016, 2019, 2022 и 2025.
Источник: IT Home.
