Novo oktobarsko ažuriranje za Windows stvara poteškoće s WiFi i VPN mrežama u poslovnim sistemima: Preporuke za IT timove
Microsoftovo sigurnosno ažuriranje za Windows, objavljeno 13. oktobra, u dijelu firmi može onemogućiti automatsko spajanje na bežičnu i žičanu mrežu te VPN. Uzrok je pooštravanje zaštite od zastarjelog NTLMv1 načina prijave, a o problemu je pisao britanski The Register. Microsoft je izmjenu potvrdio u svojoj dokumentaciji.
Najnovija oktobarska nadogradnja za Windows automatski preusmjerava sistem s dosadašnjeg režima nadzora na striktni režim blokiranja ukoliko stavka BlockNtlmv1SSO nije definisana u registru. Ova promjena obuhvata Windows 11 u verzijama 26H2, 25H2 i 24H2 kroz nadogradnju KB5127648, kao i serverski operativni sistem Windows Server 2025. Sami instalacijski paketi ne kreiraju niti samostalno modifikuju spomenuti parametar.
Poteškoće pogađaju isključivo računare koji nemaju aktivnu Credential Guard zaštitu. Zbog prelaska na novi sigurnosni režim, onemogućava se automatska jedinstvena prijava (Single Sign-On) preko protokola MS-CHAPv2, uključujući PEAP-MSCHAPv2 i EAP-MSCHAPv2, koji se standardno primjenjuju u poslovnim domenskim mrežama za Ethernet, WiFi i VPN konekcije.
Korisnici i dalje imaju mogućnost manuelnog upisivanja pristupnih podataka, ali sistem više ne dopušta njihovo trajno spremanje, što onemogućava automatsko povezivanje bez intervencije korisnika. Iz kompanije Microsoft ističu kako nije riječ o neočekivanom kvaru već o unaprijed isplaniranom koraku najavljenom u augustu 2025. godine, dok su privatni korisnici uglavnom pošteđeni problema jer se NTLMv1 kriptografija koristi pretežno u korporativnim okruženjima.
Sistemski administratori mogu provjeriti stanje putem evidencije Microsoft-Windows-NTLM/Operational. Blokirani pokušaji autorizacije registruju se pod sistemskim ID-om 4025, dok se ranija upozorenja bilježe pod ID-om 4024. Analizom ovih zapisa IT odjeli mogu precizno mapirati sve mrežne tačke koje se i dalje oslanjaju na zastarjelu NTLMv1 autentifikaciju.
Kao privremeni korak za sisteme koji ne mogu odmah preći na savremenije protokole, omogućeno je vraćanje na prethodni način rada bez potrebe za ponovnim pokretanjem računara. Na lokaciji HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0 potrebno je postaviti DWORD vrijednost BlockNtlmv1SSO na 0. Ipak, naglašava se da ovaj izuzetak kompromituje sigurnost i treba ga ukinuti vraćanjem vrijednosti na 1 čim se otkloni potreba za njim.
Konačno i dugoročno rješenje sastoji se u potpunom prelasku sa MS-CHAPv2 na autentifikaciju zasnovanu na digitalnim certifikatima, kao što su PEAP-TLS ili EAP-TLS. Dodatno, stručnjaci savjetuju obavezno omogućavanje sigurnosne funkcije Credential Guard na svim kompatibilnim uređajima unutar infrastrukture kako bi se eliminisali poznati sigurnosni rizici.
