Microsoft ha anunciado oficialmente la obsolescencia del protocolo de autenticación NTLM en Windows y servidores Windows, instando a los desarrolladores a hacer la transición hacia Kerberos o autenticación de negociación para evitar problemas futuros.
El anuncio se puede ver en una charla de Steve Syfuhs, Principal Engineer en Microsoft, así como en un post del blog de Microsoft escrito por Matthew Palko. Ambos hablan sobre la evolución de la autenticación en Windows y cómo NTLM está siendo relegado por Kerberos.
New Technology LAN Manager (NTLM) es un protocolo de autenticación lanzado en 1993 como parte de Windows NT 3.1, como sucesor del protocolo LAN Manager (LM). Aunque sigue siendo ampliamente utilizado, Microsoft ha dejado de desarrollar activamente el protocolo desde junio y lo eliminará gradualmente a favor de alternativas más seguras.
Este movimiento no es sorprendente, ya que Microsoft había anunciado previamente su intención de eliminar NTLM en octubre de 2023. Los administradores se le insta a pasar a Kerberos y otros sistemas modernos como Negotiate.
Negotiate es un proveedor de soporte de seguridad (SSP) que actúa como una capa entre la Interfaz del proveedor de soporte de seguridad (SSPI) y los demás SSP. Cuando una aplicación llama a SSPI para iniciar sesión en una red, puede especificar un SSP para procesar la solicitud. Si se especifica Negotiate, este analiza la solicitud y elige el mejor SSP según la política de seguridad configurada.
Actualmente, el paquete de seguridad Negotiate selecciona entre Kerberos y NTLM. Elige Kerberos a menos que no pueda utilizarse por ninguno de los sistemas involucrados o si la aplicación no proporcionó suficiente información para usar Kerberos.
Microsoft ha anunciado oficialmente la desaprobación del protocolo NTLM en su lista de funcionalidades «deprecated» para Windows. Esto significa que dejará de mantener activamente el protocolo y priorizará el soporte de otros como Kerberos.
Proceso de eliminación de NTLM
NTLM seguirá funcionando en la próxima versión de Windows Server y en la próxima versión anual de Windows. Aun así, los usuarios y desarrolladores deberían hacer la transición a Negotiate, que intenta autenticarse primero con Kerberos y recurre a NTLM solo cuando sea necesario.
Microsoft recomienda que los administradores de sistemas utilicen herramientas de auditoría para comprender el uso actual de NTLM en su entorno e identificar todas las instancias que deben considerarse al formular un plan de transición.
Para la mayoría de las aplicaciones, se puede reemplazar NTLM con Negotiate mediante un cambio de una línea en la solicitud «AcquireCredentialsHandle» a la Interfaz del proveedor de soporte de seguridad (SSPI). Sin embargo, existen excepciones donde podrían ser necesarios cambios más amplios.
Negotiate tiene un respaldo integrado a NTLM para mitigar problemas de compatibilidad durante el período de transición. Los administradores que tengan problemas de autenticación pueden consultar la guía de solución de problemas de Kerberos de Microsoft.