微软确认Windows 11 24H2和Server 2025之后不再支持NTLM身份验证协议
内容提要
微软决定在Windows 11 24H2和Windows Server 2025版之后不再支持NTLM身份验证协议，企业和开发者需要迁移到Kerberos或Negotiate协议。微软计划在2023年10月彻底禁用NTLM协议，因为它过于老旧且不安全。
延伸解读
NTLM 的终结意味着什么
微软已确认 Windows 11 24H2 和 Windows Server 2025 是最后支持 NTLM 的版本，后续版本将不再支持。这意味着依赖 NTLM 进行身份验证的应用、服务或脚本，在这些新系统上可能无法正常工作。企业需要提前评估内部系统对 NTLM 的依赖程度，并规划迁移，以避免未来升级时出现兼容性问题。
迁移建议：优先采用 Negotiate
微软建议将 NTLM 调用替换为 Negotiate 协议。Negotiate 会优先尝试 Kerberos 进行身份验证，仅在必要时回退到 NTLM，从而在过渡期兼顾安全与兼容。对于开发者而言，这意味着需要修改代码或配置，确保应用能利用 Negotiate 的协商机制，而不是直接硬编码 NTLM。
Kerberos 并非全新方案
虽然 Kerberos 比 NTLM 更安全，但它也已有二十多年历史，最初在 Windows 2000 SP4 中推出。因此，迁移到 Kerberos 或 Negotiate 并非采用全新技术，而是转向微软长期推荐且持续维护的验证方式。企业应关注的是如何正确配置 Kerberos 环境，例如服务主体名称和域信任关系，以充分发挥其安全优势。
Q&A
微软为什么决定不再支持NTLM协议？
因为NTLM协议过于老旧且不安全，微软计划在2023年10月彻底禁用该协议。
企业和开发者应该迁移到哪个协议？
企业和开发者需要迁移到Kerberos或Negotiate协议。
Windows 11和Windows Server的哪个版本支持NTLM协议？
Windows 11 24H2和Windows Server 2025是支持NTLM协议的最后版本。
Negotiate协议的作用是什么？
Negotiate协议默认使用Kerberos进行身份验证，必要时会回退到NTLM以确保兼容性。
Kerberos协议的历史有多长？
Kerberos协议最初在Windows 2000 SP4中推出，已有二十多年历史。
继续使用NTLM协议的风险是什么？
继续使用NTLM协议可能导致安全隐患，因为该协议已经很古老，不应继续使用。
