Microsoft は認証を強化するために NTLM を段階的に廃止し、Kerberos を採用しています

2023 年 10 月 14 日ニュースルーム認証/エンドポイントセキュリティ

マイクロソフトがこれを発表しました 予定 NT LAN Manager を削除するには (NTLM) 代替の認証方法とセキュリティの強化に重点を置いているため、将来的には Windows 11 に組み込まれる予定です。

「焦点は、2000 年以来デフォルトとなっている Kerberos 認証プロトコルを強化し、NT LAN Manager (NTLM) への依存を減らすことにあります。」とテクノロジー大手は述べています。 「Windows 11 の新機能には、未加工の認証、Kerberos を使用したパススルー認証 (IAKerb)、およびローカル キー配布センター (アメリカ疾病予防管理センター) ケルベロス用。」

IAKerb を使用すると、クライアントはさまざまなネットワーク トポロジにわたって Kerberos で認証できるようになります。 2 番目の機能である Kerberos Local Key Distribution Center (KDC) は、ローカル アカウントの Kerberos サポートを拡張します。

NTLM は 1990 年代に初めて導入されました 一連のセキュリティプロトコル ユーザーに認証、完全性、機密性を提供することを目的としています。 これは、ユーザーがアカウントに関連付けられたパスワードを知っていることをサーバーまたはドメイン コントローラーに証明する、チャレンジ レスポンス プロトコルに基づくシングル サインオン (SSO) ツールです。

Windows 2000 のリリース以降、NTLM は Kerberos と呼ばれる別の認証プロトコルに置き換えられましたが、NTLM は引き続きフォールバック メカニズムとして使用されます。

「NTLM と Kerberos の主な違いは、2 つのプロトコルが認証をどのように管理するかです。NTLM は、クライアントとサーバー間の 3 ウェイ ハンドシェイクに依存してユーザーを認証します」と CrowdStrike は述べています。 ノート。 「Kerberos は、チケット交付サービスまたはキー配布センターを利用する 2 つの部分からなるプロセスを使用します。」

もう 1 つの重要な違いは、NTLM がパスワード ハッシュに依存しているのに対し、Kerberos は暗号化を利用していることです。

NTLM以外にも 潜在的なセキュリティ脆弱性,このテクノロジーはリレー攻撃に対して脆弱になっており、悪意のある攻撃者が侵入する可能性があります。 認証試行のインターセプト そして稼ぐ 不正入場 ネットワークリソース用。

Microsoftは、Windows 11で最終的にNTLMを無効にする移行に備えて、コンポーネント内のハードコーディングされたNTLMインスタンスへの対処にも取り組んでいると述べ、NTLMの代わりにKerberosの使用を促進する改善を行っていると付け加えた。

Microsoft のエンタープライズおよびセキュリティ担当最高製品管理責任者である Matthew Balko 氏は、「これらの変更はすべてデフォルトで有効になり、ほとんどのシナリオで構成を必要としません」と述べています。 「NTLM は、現在の互換性を維持するための代替手段として引き続き利用可能です。」