Video
Prema Microsoft-u, nakon instaliranja oktobarskog ažuriranja, ako vrijednost BlockNtlmv1SSO u registru nije postavljena, Windows prelazi s režima nadzora (Audit) na režim blokiranja (Enforce), a samo ažuriranje tu vrijednost ne kreira niti mijenja.
Izmjena se odnosi na Windows 11 verzije 26H2, 25H2 i 24H2, te Windows Server 2025, a za Windows 11 riječ je o ažuriranju KB5127648, prenosi Klix.
Pogođeni su samo uređaji na kojima je isključena zaštita Credential Guard. Microsoft navodi da izmjena može izazvati probleme s WiFi, Ethernet i VPN vezama koje koriste MS-CHAPv2 autentifikaciju, pa se uređaji neće moći spojiti putem jedinstvene prijave (Single Sign-On).
Tu spadaju PEAP-MSCHAPv2 i EAP-MSCHAPv2, koji su česti u poslovnim mrežama s domenom.
Ručni unos korisničkog imena i lozinke i dalje radi, ali se podaci ne mogu sačuvati, pa veze koje su se ranije uspostavljale bez korisnika više neće raditi kako se očekuje. Microsoft naglašava da ovo nije poznati problem s ažuriranjem, nego planirana izmjena najavljena još u augustu 2025.
Kućni korisnici uglavnom nemaju razloga za brigu jer se, prema Microsoft-u, ostaci NTLMv1 kriptografije koriste u MS-CHAPv2 vezama u okruženjima s domenom.
Kako provjeriti jeste li pogođeni
Windows blokirane pokušaje bilježi u zapisniku Microsoft-Windows-NTLM/Operational.
U režimu blokiranja pojavljuje se greška s ID-om 4025, a u režimu nadzora upozorenje s ID-om 4024. Microsoft preporučuje da IT službe pomoću događaja iz režima nadzora pronađu tokove prijave koji zavise od NTLMv1 i provjere mreže koje koriste MS-CHAPv2 za WiFi, Ethernet ili VPN.
Privremeno rješenje
Ako se kritična veza ne može odmah prebaciti na drugi način prijave, Microsoft dopušta povratak na staro ponašanje. U registru, na lokaciji HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0, treba postaviti DWORD vrijednost BlockNtlmv1SSO na 0, a restart uređaja nije potreban.
Microsoft upozorava da režim nadzora smanjuje zaštitu i da ga treba koristiti samo kao ograničen i privremeni sigurnosni izuzetak. Nakon uklanjanja zavisnosti, vrijednost treba vratiti na 1.
Trajno rješenje
Microsoft preporučuje prelazak WiFi i VPN veza s MS-CHAPv2 na prijavu putem sertifikata, poput PEAP-TLS ili EAP-TLS, jer su MS-CHAPv2 veze izložene sličnim rizicima kao NTLMv1.
Kompanija takođe snažno preporučuje uključivanje zaštite Credential Guard gdje uređaji ispunjavaju uslove.
Preporučeno
