「热点资讯」Microsoft 将逐步淘汰 NTLM,转而使用 Kerberos 进行更强大的身份验证插图

引言

微软近日宣布了计划,将逐步淘汰 Windows 11 中的 NT LAN Manager (NTLM) 身份验证方法,并转向更强大的替代方案——Kerberos。这一决定旨在提升系统的安全性和身份验证能力。

「热点资讯」Microsoft 将逐步淘汰 NTLM,转而使用 Kerberos 进行更强大的身份验证插图1
网络安全

加强 Kerberos 身份验证协议

微软表示,他们的重点是加强 Kerberos 身份验证协议,该协议自 2000 年以来一直是默认的身份验证方法,并减少对 NTLM 的依赖。Windows 11 的新功能将包括使用 Kerberos (IAKerb) 进行初始和直通身份验证,以及 Kerberos 的本地密钥分发中心 (KDC)。

IAKerb:跨网络拓扑的身份验证

IAKerb 是一个新的功能,它使客户端能够跨各种网络拓扑使用 Kerberos 进行身份验证。这样,无论用户所处的网络环境如何复杂,都可以通过 Kerberos 提供的强大身份验证功能进行安全访问。

「热点资讯」Microsoft 将逐步淘汰 NTLM,转而使用 Kerberos 进行更强大的身份验证插图2

Kerberos 的本地密钥分发中心

另一个功能是 Kerberos 的本地密钥分发中心 (KDC),它将 Kerberos 的支持扩展到本地帐户。这样,用户可以在本地使用 Kerberos 进行身份验证,而不仅限于网络域环境。

NTLM 与 Kerberos 的区别

NTLM 是在 20 世纪 90 年代首次推出的一套安全协议,旨在为用户提供身份验证、完整性和机密性。它是一种单点登录 (SSO) 工具,依赖于质询响应协议,通过验证用户所知道的与帐户关联的密码来实现身份认证。

然而,自 Windows 2000 发布以来,微软已经逐渐取代了 NTLM,采用了名为 Kerberos 的更强大的身份验证协议。Kerberos 使用基于票证授予服务或密钥分发中心的流程进行身份验证,同时利用加密技术来保障安全性。

与 NTLM 相比,Kerberos 具有更强的安全性,并且能够抵御中继攻击等常见的安全威胁。因此,微软决定逐步淘汰 NTLM,鼓励用户使用 Kerberos 来提升系统的安全性和可靠性。

结论

微软表示他们正在致力于解决其组件中的硬编码 NTLM 实例问题,并准备在 Windows 11 中禁用 NTLM。这些改变将默认启用,大多数情况下无需用户进行配置。然而,为了维持现有的兼容性,NTLM 仍将作为后备方案提供。