Microsoft’un NTLMv1 kullanımına yönelik yeni kısıtlaması, kurumsal ağlarda SSO bağlantılarını etkileyebilir. Windows 11 24H2 sonraki sürümler Windows Server 2025’i kapsayan değişiklik, özellikle MS-CHAPv2 kullanan Wi-Fi, Ethernet VPN ortamlarını ilgilendiriyor.
Güncelleme sonrasında bağlantı kesintisi yaşayan kurumların, değişikliğin kendi ortamlarındaki authentication akışını etkileyip etkilemediğini kontrol etmesi gerekiyor.
Audit modundan Enforce moduna geçiliyorMicrosoft’un takvimine göre Ekim 2026’ BlockNTLMv1SSO varsayılanı 0 – Audit yerine 1 – Enforce oluyor. Değişiklik kademeli uygulanıyor yalnızca Registry değerinin önceden açıkça yapılandırılmadığı cihazlarda varsayılan davranışı değiştiriyor.
MS-CHAPv2 kullanan bağlantılar neden etkileniyor?NTLMv1 protokolü kaldırılmış olsa MS-CHAPv2 gibi bazı mekanizmalar, SSO sırasında NTLMv1-derived credentials kullanımına ihtiyaç duyabiliyor. Yeni kısıtlama, oturum açmış kullanıcı için credentials’ın üretilmesini engelliyor.
Burada MS-CHAPv2 NTLMv2’nin farklı protokoller olduğunu hatırlatmak gerekiyor. MS-CHAPv2 adındaki “v2”, bağlantının NTLMv2 kullandığı anlamına gelmiyor. PEAP-MSCHAPv2 yapılandırmasında PEAP, TLS tünelini sağlarken kullanıcı adı parola authentication işlemini tünelin içindeki MS-CHAPv2 gerçekleştiriyor.
nedenle kurumun Wi-Fi bağlantılarında PEAP-MSCHAPv2 kullanması, NTLMv1 ilişkili kısıtlamalardan etkilenmeyeceği anlamına gelmiyor.
Windows neden Kerberos veya NTLMv2’ye geçmiyor?Windows’un Kerberos’u öncelikli tercih etmesi, Negotiate kullanan bağlantılar için geçerli. Kerberos kullanılamadığında veya uygulama gerekli hedef bilgisini sağlamadığında NTLM seçilebiliyor.
Kurumsal Wi-Fi bağlantısında ise profile authentication sunucusuna tanımlanan EAP yöntemi kullanılıyor. PEAP-MSCHAPv2 olarak yapılandırılmış bağlantıyı Windows kendiliğinden Kerberos veya NTLMv2’ye çevirmiyor. Kullanıcının Windows oturumunda Kerberos kullanması, Wi-Fi authentication yöntemini belirlemiyor.
Kesintinin nedeni nasıl doğrulanır?Etkilenen Windows client üzerinde Event Viewer – Applications and Services Logs – Microsoft – Windows – NTLM – Operational bölümünü inceleyin.
Event ID 4024, ilgili kullanımın Audit modunda kaydedildiğini; Event ID 4025 ise SSO girişiminin policy nedeniyle engellendiğini gösteriyor. Kesinti zamanı log zamanı karşılaştırılmalı.
Geçici çözüm: Audit moduna dönüşSorunun kısıtlamadan kaynaklandığı doğrulanan Credential Guard’ın kapalı olduğu cihazlarda, etkilenen Windows client üzerinde yönetici Command Prompt’tan komut çalıştırılabilir:
reg add "HKLM\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0" /v BlockNTLMv1SSO /t REG_DWORD /d 0 /fayar engelleme yerine Audit davranışını uygular. Güvenlik kısıtlamasını gevşettiği için geçici kullanılmalı. Credential Guard etkinse değişiklik onun korumasını kaldırmaz.
Kalıcı çözüm: Certificate-based authenticationMicrosoft, MS-CHAPv2 tabanlı bağlantılardan EAP-TLS veya PEAP-TLS gibi certificate-based authentication yöntemlerine geçilmesini öneriyor.
Geçişte client sertifikalarının dağıtılması, RADIUS/NPS policy’lerinin Wi-Fi/VPN profillerinin birlikte düzenlenmesi gerekiyor. Önce pilot cihazlarda bağlantılar doğrulanmalı, ardından merkezi dağıtım yapılmalı. Geçiş tamamlandığında geçici Audit ayarı kaldırılarak Enforce davranışı yeniden uygulanmalı.
