Windows NTLM 安全机制调整：微软计划 2027 年 5 月起拒绝未签名连接，降低中继攻击风险

IT之家 11 月 12 日消息，微软官方宣布，即日起通过 Windows 更新逐步加强 NTLM 身份验证安全机制，要求 Windows 客户端默认在所有连接中提供 NTLM 消息签名，以降低中间人攻击和 NTLM 中继攻击风险。

微软表示，此次调整分两个阶段进行，第二阶段将于 2027 年 5 月启动，届时 Windows Server 将默认强制要求客户端使用 NTLM 签名，未提供签名的客户端将被拒绝连接。

根据微软最新发布的 KB5135557 支持文档，此次安全改进旨在修复编号为 CVE-2026-118737 的安全漏洞，也是微软针对 NTLM 消息签名机制推出的第一阶段改进。IT之家注：NTLM 是 Windows 系统长期使用的一种网络身份验证协议。

微软指出，NTLM 存在两种签名模式：一种是真正的加密消息签名，可以建立会话密钥并提供密码学保护；另一种是传统的 ALWAYS_SIGN 占位机制，虽然会生成 16 字节数据，但并不具备真正的加密保护。

微软此前发现，部分应用程序没有请求完整性检查等安全上下文要求，导致系统可能采用缺乏实际加密保护的传统签名模式。此次更新将进一步确保经过身份验证的 NTLM 会话建立加密会话密钥，并协商真正的消息签名，从而降低攻击者利用 NTLM 中继攻击冒充合法用户的风险。

根据微软公布的实施时间表，第一阶段从 2026 年 11 月 10 日开始，Windows 客户端默认在所有非匿名连接中提供 NTLM 签名，而服务器暂时同时接受使用签名和未使用签名的客户端。

系统还会通过审计事件识别尚未启用真正签名的客户端。第二阶段计划于 2027 年 5 月启动，届时 Windows Server 将默认要求 NTLM 连接使用消息签名。未提供签名的客户端将被安全配置下的服务器拒绝连接。

微软还提供了相应的审计方法，管理员可以通过 Windows 事件查看器中的 Microsoft-Windows-NTLM / Operational 日志检查连接状态。其中，事件 ID 4022 用于记录客户端侧信息，事件 ID 4023 用于记录服务器侧信息。

微软建议管理员重点检查协商标志中是否包含 0x10（NTLMSSP_NEGOTIATE_SIGN）和 0x40000000（NTLMSSP_NEGOTIATE_KEY_EXCH），同时确认 Session Key Status 显示为 Present。

如果缺少相关标志或会话密钥，说明该连接尚未达到第二阶段的安全要求。此次更新还引入了两个注册表配置项。ClientAllowUnsignedNtlm 用于控制客户端是否提供 NTLM 签名，默认值为 0，即默认提供签名；

ServerRequireNtlmSign 用于控制服务器是否强制要求签名，默认值同样为 0，即暂时同时接受有签名和无签名的客户端。管理员可以在完成审计后，将服务器端该值设置为 1，提前启用强制签名要求。

微软特别说明，此次改动仅影响 NTLM 身份验证，不会影响 Kerberos。匿名连接和 Guest 账户连接也被明确排除在强制签名要求之外。此外，如果客户端连接到不支持真正 SIGN 签名的旧版服务器，客户端会自动回退到传统 ALWAYS_SIGN 模式，不会因此直接导致连接失败。

此次安全改进适用于 Windows 11 26H2、26H1、25H2、24H2、23H2，以及 Windows 10 Enterprise LTSC 2021，同时覆盖 Windows Server 2025、2022、2019 和 2016。

参考资料：《Windows 中的 NTLM 签名安全改进 | Microsoft Support》