微軟計劃在 Windows 11 中棄用 NTLM 身份驗證協議
微軟公司宣布，計劃在未來的 Windows 11 中取消 NT LAN Manager，將其換成其他認證方式并加強安全性。
微軟方面強調，此次變化的重點是加強自 2000 年以來一直默認使用的 Kerberos 身份驗證協議，從而減少對 NT LAN Manager 的依賴。Windows 11 的新功能包括使用 Kerberos 的初始和通過身份驗證以及用于 Kerberos 的本地密鑰分發中心。
客戶能夠通過 IAKerb 在各種網絡拓撲結構中使用 Kerberos 進行身份驗證。其次， Kerberos 的本地密鑰分發中心，將 Kerberos 支持擴展到本地賬戶。
NTLM 安全協議于 20 世紀 90 年代首次推出，旨在為用戶提供身份驗證、完整性和保密性。它是一種單點登錄（SSO）工具，依靠挑戰-響應協議向服務器或域控制器驗證用戶賬戶及相關密碼。
自Windows 2000發布以來，它已經被另一種稱為Kerberos的身份驗證協議所取代，后來NTLM就一直被用作后備機制。
NTLM和Kerberos之間的主要區別在于這兩個協議如何管理身份驗證。NTLM依賴于客戶端和服務器之間的“三次握手”來驗證用戶。Kerberos使用一個由兩部分組成的過程，該過程利用票據授予服務或密鑰分發中心。還有另一個關鍵的區別是，NTLM依賴于密碼散列，而Kerberos則是利用了加密。
除了NTLM固有的安全弱點外，該技術還容易受到中繼攻擊，可能會允許不良行為者攔截身份驗證嘗試并獲得對網絡資源的未經授權訪問。
微軟方面表示，他們還在其組件中處理硬編碼的NTLM實例，為最終在Windows 11中禁用NTLM做準備，并補充表示正在進行改進，鼓勵使用Kerberos而不是NTLM。
微軟企業與安全部高級產品管理負責人 Matthew Palko 提到：所有這些更改都將默認啟用，在大多數情況下無需配置。未來NTLM也將繼續作為后備方案使用，以保持現有的兼容性。
