微软调整NTLM机制：2027年5月起未签名连接将被拒绝

微软已对外公布，从11月12日起借助 Windows 更新分步收紧 NTLM 身份验证机制，要求 Windows 客户端默认在所有连接中带上 NTLM 消息签名，从而压低中间人攻击与 NTLM 中继攻击的风险。

整个调整分成两个阶段推进。按微软的说法，第二阶段从 2027 年 5 月启动，到时 Windows Server 会默认强制客户端使用 NTLM 签名，没有提供签名的客户端将被拒绝连接。

微软新发布的 KB5135557 支持文档写明，这次安全改进针对的是编号 CVE-2026-118737 的漏洞，属于 NTLM 消息签名机制的第一阶段改动。

公开资料显示，NTLM 是 Windows 系统沿用多年的网络身份验证协议。

微软介绍，NTLM 的签名模式有两种。其一是真正的加密消息签名，能建立会话密钥并给出密码学层面的保护；其二是传统的 ALWAYS_SIGN 占位机制，会生成 16 字节数据，但其中并不包含实际的加密保护。

微软此前发现，一些应用程序没有提出完整性检查这类安全上下文要求，结果系统可能退回缺少实际加密保护的传统签名模式。这次更新要让通过身份验证的 NTLM 会话建立起加密会话密钥、协商真正的消息签名，以降低攻击者借 NTLM 中继攻击冒充合法用户的风险。

按照微软给出的时间表，第一阶段自 2026 年 11 月 10 日开始：Windows 客户端默认在所有非匿名连接中提供 NTLM 签名，服务器则暂时对使用签名和未使用签名的客户端都放行。系统还会生成审计事件，用来找出尚未启用真正签名的客户端。

第二阶段定在 2027 年 5 月。届时 Windows Server 默认要求 NTLM 连接使用消息签名，在安全配置下，未提供签名的客户端会被服务器拒绝。

微软同时给出了审计办法：管理员可在 Windows 事件查看器的 Microsoft-Windows-NTLM / Operational 日志里查看连接状态，其中事件 ID 4022 记录客户端侧信息，事件 ID 4023 记录服务器侧信息。

微软建议管理员重点核对协商标志里有没有 0x10（NTLMSSP_NEGOTIATE_SIGN）和 0x40000000（NTLMSSP_NEGOTIATE_KEY_EXCH），并确认 Session Key Status 一项显示为 Present。若相关标志或会话密钥缺失，就说明这条连接还达不到第二阶段的安全要求。

这次更新还带来两个注册表配置项。ClientAllowUnsignedNtlm 决定客户端是否提供 NTLM 签名，默认值为 0，也就是默认提供签名；ServerRequireNtlmSign 决定服务器是否强制要求签名，默认值同样是 0，即暂时对带签名和不带签名的客户端都接受。管理员审计完成后，可以把服务器端该项设为 1，提前开启强制签名要求。

微软特别说明，本次改动只涉及 NTLM 身份验证，Kerberos 不受影响。匿名连接和 Guest 账户连接也被明确排除在强制签名要求之外。另外，客户端若连接到不支持真正 SIGN 签名的旧版服务器，会自动退回传统 ALWAYS_SIGN 模式，不会因此直接连接失败。

这次安全改进覆盖 Windows 11 26H2、26H1、25H2、24H2、23H2 以及 Windows 10 Enterprise LTSC 2021，同时还包括 Windows Server 2025、2022、2019 和 2016。

参考资料：