Microsoft, Windows 11 24H2 ve sonraki sürümler ile Windows Server 2025’te NTLMv1’den türetilen credentials kullanımına yönelik kısıtlamaları artırıyor. KB5066470 numaralı duyuruda açıklanan plana göre, Ekim 2026’da yayımlanacak bir Windows update ile varsayılan davranışın Audit mode’dan Enforce mode’a geçirilmesi hedefleniyor. Bu değişiklik, BlockNtlmv1SSO registry değeri önceden yapılandırılmamış cihazlarda uygulanacak. Microsoft, takvimdeki tarihlerin değişebileceğini belirtiyor.
NTLMv1 protocol, Windows 11 24H2 ve Windows Server 2025’ten daha önce kaldırılmıştı. Ancak protocol kaldırılmış olsa da bazı senaryolarda NTLMv1 cryptography kullanılmaya devam edebiliyor. Domain-joined ortamlardaki MS-CHAPv2 kullanımı bu senaryolar arasında yer alıyor. Yeni düzenleme, oturum açmış kullanıcıların Single Sign-On (SSO) işlemleri için NTLMv1’den türetilen credentials oluşturulmasını kontrol altına almayı amaçlıyor.
Davranışı belirleyen BlockNtlmv1SSO adlı REG_DWORD değeri, aşağıdaki registry konumunda bulunuyor:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0
| Değer | Çalışma modu | Davranış |
|---|---|---|
| 0 | Audit mode | İstek gerçekleşir; kullanım Warning olarak kaydedilir. |
| 1 | Enforce mode | İstek engellenir; Error kaydı oluşturulur. |
Yeni event kayıtları, Microsoft-Windows-NTLM/Operational altında izlenebiliyor. Event ID 4024, Audit mode’da tespit edilen kullanımı; Event ID 4025 ise Enforce mode nedeniyle engellenen SSO girişimini gösteriyor. Kayıtlarda hedef server, kullanıcı, domain ve işlemi başlatan process bilgileri bulunuyor.
Değişiklik özellikle MS-CHAPv2 kullanan Wi-Fi, Ethernet ve VPN bağlantılarındaki SSO akışlarını etkileyebilir. Microsoft’un açıklamasına göre, Enforce mode bu bağlantılarda otomatik credentials kullanımını engelleyebilirken credentials’ın kullanıcı tarafından manuel girilmesi çalışmaya devam edebilir.
Düzenleme, Credential Guard’ın devre dışı olduğu cihazları kapsıyor. Credential Guard etkin cihazlarda ise duyuruda açıklanan yeni davranış uygulanmıyor; ilgili koruma zaten sağlanıyor. Microsoft, gereksinimleri karşılayan sistemlerde Credential Guard’ın etkinleştirilmesini öneriyor.
Paylaşılan takvimde Windows 11 için Audit dağıtımı Ağustos sonu ve Eylül 2025 güncellemeleriyle, Windows Server 2025 için ise Kasım 2025 itibarıyla başlatılıyor. Ekim 2026 aşamasında, ilgili registry değeri yapılandırılmamış cihazlarda varsayılan davranışın engelleme yönünde değiştirilmesi planlanıyor.
BlockNtlmv1SSO = 1 olduğunda, oturum açmış kullanıcının SSO için NTLMv1’den türetilen credentials oluşturması engellenir.
Bu nedenle MS-CHAPv2 kullanan şu bağlantılarda otomatik giriş çalışmayabilir:
- VPN: Windows oturumundaki credentials ile otomatik bağlantı.
- Wi-Fi: Kullanıcının Windows credentials’ını otomatik kullanan kurumsal bağlantılar.
- Ethernet / 802.1X: Aynı yöntemi kullanan kablolu ağ authentication işlemleri.
Kullanıcı adı ve parolanın manuel girilmesi çalışmaya devam edebilir. Dolayısıyla bütün VPN veya Wi-Fi bağlantıları engellenmez; etki, kullanılan authentication yöntemine bağlıdır. support.microsoft.com
Bu ayar NTLMv2 veya Kerberos’u engellemez, tüm NTLM kullanımını da kapatmaz. Yalnızca belirtilen NTLMv1 kaynaklı SSO işlemlerini hedefler.
Bu nedenle IT ekiplerinin, geçiş öncesinde Event ID 4024 kayıtlarını inceleyerek mevcut bağımlılıkları belirlemesi ve etkilenen bağlantıları test etmesi gerekiyor. Böylece varsayılan Enforce davranışına geçişin kurumsal erişim üzerindeki etkisi önceden değerlendirilebilir.
