Microsoft prevede di disabilitare NTLM per impostazione predefinita su Windows 11

• Microsoft illustra il suo piano per disabilitare l'autenticazione NTLM per impostazione predefinita nelle future versioni di Windows 11 e Windows Server.
• NTLM è un protocollo di autenticazione obsoleto con vulnerabilità note, tra cui attacchi di replay, relay e pass-the-hash.
• Il protocollo non verrà rimosso immediatamente, ma bloccato per impostazione predefinita a meno che non venga esplicitamente riattivato tramite policy.

Microsoft si sta preparando a migliorare ulteriormente la sicurezza di Windows 11 disabilitando per impostazione predefinita l'autenticazione NTLM (New Technology LAN Manager) nelle future versioni di Windows Server e dei client Windows. Questa modifica segna l'inizio della fine per uno dei protocolli di autenticazione più datati, poiché l'azienda si sta orientando verso alternative più robuste basate su Kerberos .

NTLM è presente in Windows da oltre 30 anni. Originariamente concepito come protocollo di autenticazione di rete basato su sfida-risposta, è stato successivamente utilizzato come soluzione di ripiego quando Kerberos non era disponibile. Sebbene sia ancora ampiamente utilizzato oggi, NTLM non soddisfa più i moderni standard di sicurezza.

Perché Microsoft si sta allontanando da NTLM

Secondo Microsoft, NTLM espone le organizzazioni a rischi inutili. Il protocollo non prevede l'autenticazione del server, si basa su una crittografia debole ed è vulnerabile ad attacchi come replay, relay, man-in-the-middle e pass-the-hash. Con l'evoluzione dei modelli di minaccia, queste debolezze sono diventate più difficili da giustificare negli ambienti aziendali.

Sebbene l'azienda avesse precedentemente contrassegnato NTLM come obsoleto , il suo utilizzo è rimasto elevato a causa di programmi legacy, dipendenze hardcoded e configurazioni di rete che rendono difficile l'implementazione di Kerberos. Microsoft riconosce che la sola deprecazione non è stata sufficiente.

Cosa significa “disabilitato per impostazione predefinita” per Windows 11

Disabilitare NTLM per impostazione predefinita non significa che il protocollo verrà rimosso immediatamente dal sistema operativo. Windows 11 , infatti, verrà distribuito con una configurazione predefinita "sicuro per impostazione predefinita" che blocca l'autenticazione di rete NTLM. L'autenticazione basata su Kerberos sarà preferita e NTLM funzionerà solo se gli amministratori lo riattiveranno esplicitamente tramite criteri di gruppo.

Una tabella di marcia a fasi per ridurre i disagi

Microsoft sta implementando la modifica attraverso una roadmap in tre fasi per fornire agli amministratori di rete la visibilità e il tempo necessari per apportare le modifiche richieste:

• Fase 1 (disponibile ora): il monitoraggio NTLM avanzato offre alle organizzazioni visibilità su dove e perché NTLM è ancora in uso. È supportato su Windows Server 2025 e Windows 11 24H2 e versioni successive e costituisce la base per ridurre la dipendenza da NTLM.
• Fase 2 (seconda metà del 2026): Microsoft ridurrà i casi di fallback NTLM più comuni introducendo funzionalità come IAKerb e un Centro di distribuzione chiavi locale. Anche i componenti principali di Windows verranno aggiornati per dare la preferenza a Kerberos e migliorare l'autenticazione degli account locali senza imporre NTLM.
• Fase 3 (future versioni di Windows): NTLM sarà disabilitato per impostazione predefinita per l'autenticazione di rete. Le organizzazioni dovranno riabilitarlo esplicitamente utilizzando i nuovi controlli dei criteri, con gestione integrata per gli scenari legacy al fine di ridurre al minimo i problemi di compatibilità delle applicazioni.

Cosa dovrebbero fare ora le organizzazioni

Microsoft esorta le organizzazioni ad avviare immediatamente i preparativi. Ciò include l'attivazione del monitoraggio NTLM avanzato, la mappatura delle dipendenze delle applicazioni, la collaborazione con i fornitori per modernizzare l'autenticazione e il test delle configurazioni NTLM disabilitate in ambienti non di produzione.

La disattivazione predefinita di NTLM rappresenta un ulteriore passo nell'impegno di lunga data di Microsoft per la sicurezza del sistema operativo. Per le organizzazioni che ancora si affidano a NTLM, l'annuncio non è una sorpresa, ma rende comunque più difficile ignorare la tempistica prevista.