微軟近期宣布了一項(xiàng)重大安全策略調(diào)整，旨在逐步淘汰NTLM身份認(rèn)證協(xié)議，并大力推廣Kerberos作為新的身份驗(yàn)證標(biāo)準(zhǔn)。這一變革背后，是公司對(duì)于提升Windows系統(tǒng)整體安全性的不懈追求。
為了實(shí)現(xiàn)這一過渡，微軟采取了雙管齊下的策略。一方面，他們積極擴(kuò)展Kerberos的應(yīng)用場(chǎng)景，特別是在Windows 11系統(tǒng)中，通過引入IAKerb和本地KDC，使得Kerberos能夠在更加復(fù)雜的網(wǎng)絡(luò)拓?fù)洵h(huán)境和本地賬戶環(huán)境中發(fā)揮效用。這一改進(jìn)，無(wú)疑為Kerberos的普及奠定了堅(jiān)實(shí)的基礎(chǔ)。
另一方面，微軟也在對(duì)現(xiàn)有Windows組件進(jìn)行深度改造，將原本內(nèi)置的NTLM硬編碼組件逐步替換為支持Negotiate協(xié)議的組件。這一轉(zhuǎn)變，意味著這些組件將能夠自動(dòng)選擇最合適的身份驗(yàn)證方式，即在Kerberos可用時(shí)優(yōu)先使用Kerberos，而在Kerberos不可用時(shí)則回退到NTLM。這一靈活性，不僅提升了系統(tǒng)的安全性，也確保了向后兼容性的維護(hù)。
NTLM作為微軟專用的身份認(rèn)證協(xié)議，曾在Windows NT系列產(chǎn)品中廣泛應(yīng)用。其基于挑戰(zhàn)/響應(yīng)的認(rèn)證模型，在一定程度上保障了用戶身份的安全性。然而，隨著技術(shù)的不斷進(jìn)步和安全威脅的日益復(fù)雜，NTLM的局限性也逐漸顯現(xiàn)。因此，微軟決定逐步放棄這一協(xié)議，并將其從未來(lái)的Windows客戶端和服務(wù)器版本中徹底移除。
這一決策，無(wú)疑是對(duì)Kerberos身份驗(yàn)證方式的一次有力背書。Kerberos作為一種更加安全、高效的身份認(rèn)證協(xié)議，已經(jīng)在眾多企業(yè)和組織中得到了廣泛應(yīng)用。微軟此次大力推廣Kerberos，不僅是對(duì)自身安全策略的一次重要調(diào)整，更是對(duì)整個(gè)行業(yè)安全標(biāo)準(zhǔn)的一次有力推動(dòng)。
隨著微軟這一過渡計(jì)劃的逐步實(shí)施，我們可以預(yù)見，未來(lái)的Windows系統(tǒng)將更加安全、可靠。而對(duì)于廣大用戶而言，這也意味著他們將能夠享受到更加高級(jí)別的安全保護(hù)和更加便捷的使用體驗(yàn)。這一變革，無(wú)疑將為用戶和企業(yè)帶來(lái)雙贏的局面。
