新聞

微軟10月Windows安全更新進一步限制NTLMv1衍生憑證用於單一登入（Single Sign-On，SSO），將原本允許產生這類憑證並記錄警告的預設設定，改為直接封鎖憑證產生要求。這項變更影響Windows 11 24H2、25H2、26H2及Windows Server 2025，若企業仍使用MS-CHAPv2進行Wi-Fi、有線乙太網路或VPN驗證，部分單一登入流程可能失敗。

這次調整主要影響未啟用Credential Guard認證防護功能，且未明確設定BlockNtlmv1SSO登錄值的裝置。在10月更新之前，Windows預設採用稽核模式（Audit），更新後則改為強制模式（Enforce），阻止系統產生NTLMv1衍生憑證。微軟指出，若管理員先前已設定這項登錄值，更新不會覆寫原有設定。

微軟10月14日在Windows Message Center發布通知，提醒企業檢查仍依賴MS-CHAPv2的網路驗證設定，特別是採用PEAP-MSCHAPv2或EAP-MSCHAPv2的連線。在部分企業環境中，這些驗證方式的單一登入流程會使用NTLMv1衍生憑證，因此更新後可能受到限制。微軟強調，這是預先規畫的安全強化措施，並非10月Windows安全更新的已知問題。

這項調整也是微軟逐步淘汰NTLM的一環。對於可能受到影響的企業，微軟建議先確認網路驗證設定，逐步移除對MS-CHAPv2的依賴，將Wi-Fi及VPN連線改用憑證式驗證。若短期內無法完成調整，管理員可暫時將BlockNtlmv1SSO設為0，改回稽核模式，允許系統繼續產生NTLMv1衍生憑證。不過微軟提醒，這會降低強制模式提供的安全保護，應僅作為暫時性措施，待企業移除相關舊式驗證依賴後，再恢復強制模式。