微軟計劃在 Windows 11 中預設為停用 NTLM 驗證。

微軟正準備進一步提升 Windows 11 的安全性，未來將在 Windows Server 和 Windows 用戶端版本中預設為停用 NTLM（新技術區域網路管理器）驗證。此舉標誌著這項歷史悠久的傳統身分驗證協議即將退出歷史舞台，微軟正積極轉向更強大的基於 Kerberos 的替代方案。

NTLM 協定在 Windows 系統中已存在超過 30 年。它最初被設計為一種用於網路身份驗證的質詢-回應協議，後來在 Kerberos 協議不可用時成為備用方案。儘管如今 NTLM 仍然被廣泛使用，但它已不再符合現代安全標準。

微軟為何放棄 NTLM 認證？

微軟表示，NTLM協議會使企業面臨不必要的風險。該協定缺乏伺服器身份驗證，依賴弱加密技術，並且容易受到重播攻擊、中繼攻擊、中間人攻擊和哈希傳遞攻擊等攻擊。隨著威脅模型的演變，這些缺陷在企業環境中越來越難以被接受。

儘管微軟先前已將 NTLM 標記為已棄用，但由於遺留程式、硬編碼依賴項以及網路配置等因素，NTLM 的使用率仍然居高不下，這些因素使得 Kerberos 部署變得困難。微軟承認，僅僅棄用 NTLM 是不夠的。

「預設為停用」對 Windows 11 意味著什麼

預設禁用 NTLM 並不意味著該協定會立即從作業系統中移除。 Windows 11預設採用安全性配置，預設會阻止網路 NTLM 驗證。系統會優先使用基於 Kerberos 的身份驗證，只有管理員透過策略明確地重新啟用 NTLM 後，它才會運作。

旨在減少干擾的分階段路線圖

微軟正透過分三個階段的路線圖逐步推出這項變更，以便讓網路管理員能夠了解變更內容並有時間進行必要的變更：

第一階段（現已推出）： 增強型 NTLM 監控功能可讓組織了解 NTLM 仍在使用的位置和原因。此功能支援 Windows Server 2025 和 Windows 11 24H2 及更高版本，並為減少對 NTLM 的依賴奠定了基礎。
第二階段（2026 年下半年）：微軟將透過引進 IAKerb 和本地金鑰分發中心等功能，減少常見的 NTLM 回退場景。核心 Windows 元件也將更新，優先使用 Kerberos 並改進本機帳戶驗證，而無需強制使用 NTLM。
第三階段（未來 Windows 版本）： NTLM 網路驗證將預設為停用。組織需要使用新的策略控制明確地重新啟用它，並內建針對舊版場景的處理機制，以最大程度地減少應用程式的故障。

各組織現在該做什麼

微軟敦促各組織立即開始準備。這包括啟用增強型 NTLM 監控、映射應用程式依賴關係、與供應商合作實現身份驗證現代化，以及在非生產環境中測試停用 NTLM 的配置。

預設禁用 NTLM 認證標誌著微軟在長期保障作業系統安全方面又邁出了重要一步。對於仍依賴 NTLM 的組織而言，這項公告並不令人意外，但也讓這項措施的進程更加不容忽視。