07.10.2023
Microsoft plant, die NTLM-Authentifizierung in Windows 11 abzuschaffen
Microsoft hat angekündigt, dass das NTLM-Authentifizierungsprotokoll aus Windows 11 fliegen wird. Damit will der Konzern endlich auf Sicherheitsbedenken reagieren und Angriffe über dieses Protokoll endgültig unmöglich machen.
New Technology LAN Manager am Ende
Es gibt damit nur ein Problem: Während es schon lange klar ist, dass NTLM (kurz für New Technology LAN Manager) zum Beispiel zur Authentifizierung von Remote-Nutzern anfällig ist, wird es noch immer eingesetzt. Windows 11 nutzt dieses Protokoll nicht mehr als Standard, doch Microsoft bietet für diverse Drittanbieter und Unternehmen noch immer die Kompatibilität für NTLM an. Doch jetzt gibt es eine klare Ansage aus Redmond - NTLM wird als Altlast aus Windows 11 komplett verschwinden.
Kerberos hat dabei als Authentifizierungsprotokoll NTLM abgelöst und ist nun das aktuelle Standardprotokoll für mit Domänen verbundenen Geräten in allen Windows-Versionen seit Windows 2000.
NTLM-Relay-Angriffe
Microsoft ist dabei schon seit über zehn Jahren dazu übergegangen, Entwickler zu raten, kein NTLM mehr in ihren Anwendungen zu verwenden. Administratoren sollen NTLM entweder deaktivieren oder ihre Server so zu konfigurieren, dass NTLM-Relay-Angriffe mit Active Directory Certificate Services (AD CS) blockiert werden. Genutzt haben diese Ratschläge allerdings noch zu wenig. Bedrohungsakteure haben NTLM ausgiebig in den sogenannten NTLM-Relay-Angriffen ausgenutzt, bei denen sie anfällige Netzwerkgeräte (einschließlich Domänencontroller) dazu zwingen, sich bei Servern unter der Kontrolle der Angreifer zu authentifizieren, wodurch sie ihre Berechtigungen erhöhen und die vollständige Kontrolle über die Windows-Domäne erlangen. Trotzdem wird NTLM immer noch auf Windows-Servern verwendet. Angreifern können daher eine Reihe bekannter Schwachstellen wie ShadowCoerce, DFSCoerce, PetitPotam und RemotePotato0 auszunutzen, die darauf ausgelegt sind, die Abschwächung von NTLM-Relay-Angriffen zu umgehen. Jetzt arbeitet Microsoft an zwei neuen Kerberos-Funktionen: IAKerb (Initial and Pass Through Authentication Using Kerberos) und Local KDC (Local Key Distribution Center). Man setzt also auf neue, bessere Alternativen. Microsoft beabsichtigt, diese beiden neuen Kerberos-Funktionen in Windows 11 einzuführen, um die Verwendung von Kerberos zu erweitern. Einen Zeitplan für die beiden neuen Protokolle und für den Rauswurf von NTLM gibt es aber bisher nicht.