Régi hitelesítés miatt szakadhat meg a hálózat az októberi Windows-frissítés után

A változás azokat a környezeteket érinti, ahol az egyszeri bejelentkezés, vagyis a Single Sign-On még NTLMv1-ből származtatott hitelesítő adatokat használ. A Windows az októberi csomag előtt engedélyezte ezeket a kéréseket, és figyelmeztető eseményeket rögzített. A frissítés után viszont az alapértelmezett működés már az elutasítás.

Ez a hálózati hitelesítést is megakaszthatja, így az érintett Wi-Fi-, vezetékes Ethernet- vagy VPN-kapcsolat sem feltétlenül jön létre. A következmény tehát hálózati problémának látszhat, miközben a háttérben a régi hitelesítési mód tiltása áll. Nem általában minden Windows-kapcsolatot érintő kiesésről van szó.

A kulcsszereplő a rendszerleíró adatbázis BlockNtlmSSO nevű értéke. Ha nincs beállítva, a Windows mostantól az 1 értéknek megfelelő, tiltást érvényesítő módot használja. Ezt a Microsoft Enforce módnak nevezi. Korábban ugyanebben a helyzetben a 0 értéknek megfelelő, figyelmeztetéseket rögzítő Audit mód volt az alapértelmezés.

Fontos különbség, hogy az októberi csomag nem írja be ezt az értéket: a beállítás hiányában követett viselkedést változtatja meg. A leírás szerint ha a Credential Guard funkció nincs bekapcsolva, és nincs kifejezetten Audit mód beállítva, az NTLMv1-ből származtatott adatok használatát blokkolja a rendszer.

A BlockNtlmSSO értékének 0-ra állításával a rendszergazda ideiglenesen újra engedélyezheti ezeket a Single Sign-On kéréseket. Ez azonban nem azonos a régi technológiáról való átállással: csupán kivételt ad a szigorúbb működés alól.

A Microsoft idézett figyelmeztetése szerint az Audit mód csökkenti az Enforce mód által nyújtott védelmet. Ezért csak korlátozott körben, átmeneti biztonsági kivételként jöhet szóba, nem általános visszaállításként. A forrás nem ad biztos határidőt arra, meddig marad használható ez a kerülőmegoldás.

A Microsoft 2024-ben vette fel az NTLM-et a kivezetendő technológiák listájára, 2025 augusztusának végén pedig bevezette az NTLMv1 használatát jelző naplózást. Ezzel a rendszergazdák láthatják, hol támaszkodik még a környezet a régi megoldásra.

A Microsoft a Windows 11 24H2-ből és a Windows Server 2025-ből már eltávolította az NTLM-et, a beszámoló szerint azonban maradványai megmaradtak. Ilyenek a tartományhoz csatlakoztatott környezetben az MS-CHAPv2-alapú kapcsolatok, köztük a PEAP-MSCHAPv2 és az EAP-MSCHAPv2.

Az októberi frissítés után, ha a Credential Guard nincs bekapcsolva, és a BlockNtlmSSO értéke nincs Audit módra (0) állítva, a rendszer blokkolja az NTLMv1-ből származtatott hitelesítő adatok használatát. Ez olyan, korábban működő kapcsolatokat is érinthet, amelyek még ezekre a régi mechanizmusokra épülnek.