Windows Etki Alanında NTLM Kimlik Doğrulaması Nasıl Devre Dışı Bırakılır

Microsoft, temel kimlik doğrulama amaçları için Windows NT'ye NTMLveya NT LAN Manager Protokolünü dahil etmiştir ve Kerberos kimlik doğrulamasını sunarak güvenliğini artırmayı denemiştir. Ancak NTML Protokolü hala Windows Etki Alanı Ağlarında kullanılmaktadır. Bu yazımızda Windows Etki Alanında NTML Kimlik Doğrulamasının nasıl devre dışı bırakılacağını göreceğiz.

Windows Etki Alanında NTML Kimlik Doğrulamasını Devre Dışı Bırak

Windows Etki Alanında NTML Kimlik Doğrulamasını devre dışı bırakmak istemenizin birden çok nedeni olabilir. En yaygın nedenlerden bazıları şunlardır:

  1. NTML güvenli değildir ve zayıf şifreleme sunar.

  2. NTML durumunda, şifre karmanız LSA Hizmetinde saklanacaktır. Bir saldırgan tarafından kolayca çıkarılabilir.

  3. İstemci ile sunucu arasında karşılıklı kimlik doğrulama eksikliği olduğundan, Veri Ele Geçirme saldırılarına karşı savunmasızdır.

NTML Kimlik Doğrulamasını devre dışı bırakma nedenlerini öğrendikten sonra, devre dışı bırakma nedenlerine bakalım.

Bunlar, Windows Etki Alanında NTML Kimlik Doğrulamasını devre dışı bırakmanın yollarıdır.

  1. Yerel Grup İlkesi Düzenleyicisi tarafından

  2. Kayıt Defteri Düzenleyicisi tarafından

Bunlardan detaylı olarak bahsedelim.

1. Grup İlkesi Düzenleyicisi Tarafından

NTML'yi devre dışı bırakmadan önce, en korumasız protokolünü kullanmadığınızdan emin olmamız gerekir; NTMLv1 veya NTML Sürüm 1. Bu, alan adınızı saldırganlara karşı savunmasız hale getirebilir. Bunu tamamladıktan sonra, Windows Etki Alanında NTML Kimlik Doğrulamasını Grup İlkesi Düzenleyicisi ile devre dışı bırakmak için aşağıdaki yöntemi izleyin.

Bunu yapmak için Başlat menüsünden Yerel Grup İlkesi Düzenleyicisi'ni açın. Aşağıdaki konuma gidin.

Computer Configuration > Windows Settings > Security Settings > Local Policies > Security Options

Şimdi Ağ Güvenliği: LAN Manager kimlik doğrulama düzeyi'ne çift tıklayın. Yalnızca NTMLv2 yanıtı gönderildi'yi seçin. "Yerel Güvenlik Ayarları " sekmesinden LM ve NTML'yireddedin.

Uygula > Tamam'ı tıkladığınızda alanınızda NTML kimlik doğrulaması devre dışı bırakılır.

2. Kayıt Defteri Düzenleyicisi Tarafından

Grup İlkesi Düzenleyiciniz yoksa, NTML'yi Kayıt Defteri Düzenleyicisi'nden devre dışı bırakabilirsiniz. Bazı basit çözümlerin yardımıyla bunu kolayca yapabilirsiniz.

Başlat Menüsünden Kayıt Defteri Düzenleyicisi'ni başlatın ve aşağıdaki konuma gidin.

Computer\HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Lsa

Şimdi Lsa'ya sağ tıklayın ve Yeni > DWORD (32-bit) Değeri'ni seçin. Buna "LmCompatibilityLevel" adını verin ve Value data'yı 5 olarak ayarlayın. 5 çünkü “Yalnızca NTMLv2 yanıtı gönderildi. LM ve NTML'yi reddet ”.

Bu şekilde Kayıt Defteri Düzenleyicisi'ni kullanarak NTML'yi devre dışı bırakabileceksiniz.

İlgili makaleler