Последнее обновление Windows 11 от Microsoft в Patch Tuesday, KB5127648, исправляет проблему с новой функцией «Защита администратора», которая вызывала сбои групповых политик. Эта проблема беспокоила ИТ-администраторов с августа. Хотя это и хорошо, новое обновление также вносит серьезную проблему, связанную с аутентификацией.
ИТ-администраторы широко сообщают об этой проблеме на форумах Microsoft, где пользователи утверждают, что их ПК с Windows 11 больше не могут проходить аутентификацию в сетях Wi-Fi WPA2-Enterprise с использованием 802.1X и PEAP после установки KB5127648. В сообщенных случаях аутентификация начинается, но не завершается; тем временем сети WPA2-Personal продолжают работать нормально.
Проблема, по-видимому, затрагивает несколько поставщиков оборудования и беспроводных чипсетов, включая Intel и Qualcomm, что указывает на то, что это связано с самим ОС; они также обнаружили, что удаление KB5127648 и перезагрузка затронутых ПК восстановили подключение, фактически подтвердив, что причиной является новое обновление Windows.
Для тех, кто интересуется, WPA2-Enterprise обычно используется в корпоративных и других управляемых сетях, где аутентификация 802.1X помогает проверять пользователей или устройства перед предоставлением доступа к сети. PEAP (Protected Extensible Authentication Protocol) является одним из методов аутентификации, используемых в этих средах.
Хорошая новость заключается в том, что существует также ручное исправление, которое позволяет сохранить установленное обновление. Обходной путь включает изменение реестра Windows, связанное с планами Microsoft по постепенному отказу от криптографии, основанной на NTLMv1. Вы можете выполнить следующие шаги, если столкнулись с той же проблемой:
- Откройте редактор реестра от имени администратора.
- Перейдите к HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0.
- Создайте новое 32-битное значение DWORD с именем BlockNtlmv1SSO, если оно еще не существует.
- Установите его значение равным 0.
- Перезагрузите ПК и проверьте, работает ли подключение Wi-Fi снова.
Многие пользователи и администраторы подтвердили, что изменение значения реестра на 0 устраняет проблему аутентификации. Один пользователь также сообщил об успехе после развертывания настройки через групповую политику, что может быть полезно для ИТ-администраторов, управляющих несколькими затронутыми ПК.
Что касается того, почему это работает, Microsoft постепенно ужесточает ограничения на учетные данные, основанные на NTLMv1, начиная с Windows 11 24H2. Компания объясняет, что эти учетные данные могут использоваться в определенных сценариях единого входа, включая подключения Wi-Fi, Ethernet и VPN, которые полагаются на аутентификацию MS-CHAPv2. Credential Guard уже обеспечивает защиту от этой устаревшей криптографии, и Microsoft рекомендует включить его на поддерживаемых устройствах.
Документация Microsoft также объясняет, что значение реестра BlockNtlmv1SSO контролирует, аудирует ли Windows или блокирует попытки генерации учетных данных, основанных на NTLMv1, для вошедшего в систему пользователя. Значение 0 включает режим аудита, а 1 — режим принудительного применения. Microsoft заявила, что планирует изменить значение по умолчанию на режим принудительного применения в октябре 2026 года для устройств, где настройка реестра не была явно сконфигурирована. Это, вероятно, объясняет, почему это происходит сейчас.
Тем не менее, этот обходной путь не лишен недостатков. Установка значения 0 восстанавливает более разрешительное поведение, но это также означает, что Windows продолжит разрешать устаревшее поведение аутентификации, от которого Microsoft пытается отказаться. Поэтому, если вы являетесь администратором, затронутым этим, вам следует оценить последствия для безопасности перед развертыванием изменения в вашей среде.
Источник: Microsoft Learn
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Sayan Sen
