NTLM-Deaktivierung in Windows 11 steht an Kerberos ersetzt endlich NTLM!

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

Fsas Technologies GmbH

FTAPI Software GmbH

NTLM ist sehr anfällig für Cyberattacken, deshalb will Microsoft NTLM in den Ruhestand versetzen und aus Windows 11 sowie aus Windows Server 2025 entfernen. Zukünftig soll Kerberos die Funktionen übernehmen und die Authentifizierung in Windows sicherer gestalten.

Microsoft plant in Zukunft komplett auf NTLM zu verzichten. Wann und wie das geschieht, ist derzeit noch nicht klar. Es ist aber wohl beschlossene Sache, dass in zukünftigen Updates NTLM in Windows 11 entfernt wird. Da mittlerweile bereits Previews für Windows Server 2025 zur Verfügung stehen, ist zu erwarten, dass bald auch im Nachfolger von Windows Server 2022 NTLM Geschichte sein wird. Admins sollten sich daher bereits jetzt vorbereiten.

Kerberos ersetzt NTLM endgültig

Als Authentifizierungsprotokoll ist NTLM ohnehin seit 2000 durch Kerberos ersetzt worden. Jetzt will Microsoft das veraltete Protokoll komplett aus Windows streichen. Trotz seiner weiten Verbreitung zeigt NTLM erhebliche Sicherheitslücken, die es für Cyberattacken anfällig machen. Die Anfälligkeit von NTLM resultiert primär aus seinem Design, das auf Challenge-Response-Mechanismen basiert, ohne eine ausreichende Verifizierung der Kommunikationspartner zu gewährleisten. Angreifer können verschiedene Techniken wie Pass-the-Hash, Man-in-the-Middle-Angriffe oder Brute-Force-Attacken nutzen, um NTLM-Authentifizierungsprozesse auszunutzen.

Bildergalerie

Bildergalerie mit 5 Bildern

Darum ist NTLM unsicher

Ein Beispiel für Cyberattacken auf NTLM ist der PetitPotam-Angriff, der Schwachstellen im NTLM-Protokoll ausnutzt, um die Kontrolle über Domain Controller in Windows-Netzwerken zu erlangen. Durch Ausnutzung dieser Schwachstelle in Kombination mit AD-CS Relay-Angriffen können Angreifer eine vollständige Domänen­kompromittierung herbeiführen. Microsoft veröffentlichte Patches, um PetitPotam zu beheben, jedoch bleiben Herausforderungen bestehen, da die Patches nicht alle Probleme lösen und neue Authentifizierungszwangsmethoden aufgetaucht sind, wie DFSCoerce, die weiterhin Sicherheitsrisiken darstellen.

Diese Methoden ermöglichen es, Zugriff auf Netzwerkressourcen zu erlangen oder Benutzeridentitäten zu übernehmen, indem die Authentifizierungsdaten abgefangen, entschlüsselt oder wiederverwendet werden. NTLM-Relay-Angriffe sind ein häufiger Angriffsvektor, der auf Active Directory zielt. Diese Angriffsart nutzt die Tatsache, dass NTLM-Authentifizierungsanfragen und deren Antworten manipuliert und an einen anderen Zielserver weitergeleitet werden können, ohne dass die Inhalte entschlüsselt werden müssen. Angreifer fangen die NTLM-Austauschprozesse zwischen Client und Server ab und leiten diese an einen Drittsystem innerhalb des Netzwerks weiter, um unbefugten Zugriff zu erlangen. Dabei wird die Authentizität der Originalanfrage missbraucht, um die Sicherheitsmechanismen zu umgehen, da das Zielgerät die Anfrage als legitimen Versuch des ursprünglichen Senders interpretiert. Solche Angriffe unterstreichen die Schwächen des NTLM-Protokolls, insbesondere in Szenarien, wo die entsprechenden Sicherheitsvorkehrungen wie SMB-Signierung deaktiviert oder nicht unterstützt werden. Für IT-Professionals im Bereich Active Directory ist es essentiell, Maßnahmen wie die Aktivierung der Extended Protection for Authentication und die Verwendung von Kerberos anstelle von NTLM, wo immer möglich, zu implementieren, um solche Angriffsvektoren zu minimieren.

Darüber hinaus bietet NTLM keine Mechanismen zur Verschlüsselung der Authentifizierungssitzung, was die Vertraulichkeit der übertragenen Daten gefährdet. Aufgrund dieser Schwächen empfehlen Sicherheitsexperten den Übergang zu sichereren Authentifizierungsprotokollen wie Kerberos, das stärkere Verschlüsselungs- und Authentifizierungsmethoden bietet. Microsoft sieht das ebenfalls so und will Kunden mehr zum sicheren Kerberos drängen.

NTLM bietet Vorteile, die aber das Risiko kaum rechtfertigen

Nichts desto trotz bietet NTLM einige Vorteile, die Unternehmen immer noch gerne nutzen. NTLM erfordert keine lokale Netzwerkverbindung zu einem Domänencontroller. Außerdem ist NTLM das einzige Protokoll, das bei der Verwendung lokaler Konten unterstützt wird und funktioniert auch, wenn nicht klar ist, wer der Zielserver ist. Kerberos muss Zugriff auf einen Domänencontroller haben und erfordert die Angabe des Zielservers. Aus diesen Gründen nutzen einige Anwendungen noch immer NTLM und ermöglichen nur schwer eine Umstellung zu Kerberos. Hier stehen Unternehmen aber vermutlich bald vor der Notwendigkeit den Wechsel dennoch vollziehen zu müssen.

Kerberos ist sicherer als NTLM

Kerberos bietet gegenüber NTLM deutliche Sicherheitsvorteile, die es zu einer bevorzugten Wahl für die Authentifizierung in Active Directory-Umgebungen machen. Im Gegensatz zu NTLM, das auf einem Challenge-Response-Mechanismus basiert und anfällig für Relay-Angriffe ist, verwendet Kerberos Tickets, die durch starke kryptografische Techniken geschützt sind. Diese Tickets stellen sicher, dass die Authentifizierungsinformationen nicht abgefangen und wiederverwendet werden können, was die Sicherheit gegenüber Man-in-the-Middle-Angriffen erheblich erhöht.

Zudem beinhaltet Kerberos ein Zeitfenster für die Ticketgültigkeit, was Replay-Angriffe erschwert. Ein weiterer wesentlicher Sicherheitsaspekt von Kerberos ist die gegenseitige Authentifizierung, bei der sowohl der Client als auch der Server ihre Identität bestätigen müssen, was bei NTLM nicht der Fall ist. Angesichts dieser Sicherheitsmerkmale sollten Administratoren aktiv den Übergang zu Kerberos vorantreiben, insbesondere in Umgebungen, die hohe Sicherheitsanforderungen haben. Die Implementierung von Kerberos reduziert das Risiko von Authentifizierungsangriffen signifikant und verbessert damit die Gesamtsicherheit der Netzwerk- und Systeminfrastruktur.

NTLM-Deaktivierung in Windows 11 steht an und Kerberos erhält Verbesserungen

Microsoft will NTLM komplett aus Windows 11 und Windows Server 2025 entfernen. Matthew Palko von Microsoft schreibt dazu: „Die Verringerung der Verwendung von NTLM wird letztendlich dazu führen, dass es in Windows 11 deaktiviert wird“. Um Unternehmen die Umstellung zu Kerberos schmackhaft zu machen, erweitert Microsoft das Authentifizierungsprotokoll weiter. Initial- und Pass-Through-Authentifizierung mit Kerberos (IAKerb) und ein lokales Key Distribution Center (KDC) für Kerberos verbessern weiter die Sicherheit und Flexibilität von Kerberos. IAKerb ermöglicht es Clients zum Beispiel, sich mit Kerberos in verschiedenen Netzwerktopologien zu authentifizieren. Dazu kommt die Unterstützung von lokalen Konten bei Kerberos hinzu. Der lokale KDC für Kerberos baut auf dem Security Account Manager des lokalen Rechners auf, so dass die Remote-Authentifizierung lokaler Benutzerkonten über Kerberos erfolgen kann.

Beide Neuerungen erfordern keine Konfiguration, sondern werden automatisch aktiviert. Die Neuerungen heben darüber hinaus die meisten Vorteile auf, die für NTLM noch bestehen. Für IAKerb und den lokalen KDC sind in Zukunft außerdem keine zusätzlichen Ports notwendig, was die Verwendung weiter vereinfacht. Dazu kommt, dass bei der Authentifizierung über das lokale KDC standardmäßig AES zum Einsatz kommt. Das verbessert wiederum die Sicherheit von lokalen Konten.

Das sollten Admins jetzt tun

Microsoft empfiehlt so schnell wie möglich NTLM im Netzwerk abzuschaffen und überall auf Kerberos zu wechseln, wo immer das möglich ist. Microsoft beschreibt in einem Blog-Beitrag zu diesem Thema, wie der Wechsel stattfinden kann.

(ID:49944349)