NTLM fora de jogo no Windows Microsoft desliga o protocolo por defeito e empurrando Kerberos

A Microsoft decidiu dar um passo forte contra uma das peças mais antigas – e problemáticas – da autenticação no Windows: o protocolo NTLM deixará de ser ativado automaticamente nas próximas versões principais do sistema operacional. Após três décadas sendo a alternativa por defeito em ambientes herdados, a empresa argumenta que manter o NTLM habilitado por omissão expõe as organizações a vetores de ataque que já não são aceitáveis em 2026 e seguintes.

NTLM (New Technology LAN Manager) nasceu com Windows NT nos anos noventa como método de desafio-resposta para autenticar usuários e equipamentos. Com o tempo foi substituído por Kerberos nos domínios modernos, mas seguiu presente como mecanismo de apoio. Essa presença persistente é perigosa porque a NTLM emprega esquemas criptográficos obsoletos e tem sido explorado repetidamente por atacantes para escalar privilégios e mover-se lateralmente dentro de redes corporativas.

O histórico de abusos é longo: desde as técnicas clássicas de relay de NTLM até explorações concretas que permitem forçar equipamentos comprometidos a autenticar contra servidores controlados pelo atacante. Vulnerabilidades e ferramentas como PetitPotam, que abusou de serviços remotos para facilitar relays, ou RemotePotato0, que permitiu suplantar a conta LocalSystem, ilustram por que os especialistas levam anos recomendando eliminar ou mitigar NTLM. A Microsoft e a comunidade de segurança documentaram esses riscos extensamente; por exemplo, a descrição de PetitPotam e seu seguimento aparece no registro de vulnerabilidades da Microsoft CVE-2021-36942, e a técnica RemotePotato0 foi analisada por equipes de resposta e análise pública como Rapid7.

Além dos relays, ataques de tipo pass-the-hash continuam sendo um problema prático: os adversários extraem hashes de autenticação de máquinas comprometidas e os reutilizam para autenticar-se como usuários legítimos. A Microsoft oferece guias para mitigar essas ameaças, mas a solução mais sólida é evitar que a NTLM seja usada como fallback em primeiro lugar; nesse sentido, as recomendações oficiais Ainda é uma referência para administradores.

A mudança anunciada não pretende apagar NTLM do sistema da noite para a manhã. Segundo a Microsoft, a intenção é entregar o Windows em um estado "seguro padrão" onde a autenticação NTLM por rede está bloqueada e não é usada automaticamente, enquanto o sistema prefere alternativas modernas baseadas em Kerberos e mecanismos de autenticação resistentes ao phishing. Você pode ler os detalhes oficiais do plano no comunicado da equipe do Windows no blog Microsoft Tech Community aqui.

Para minimizar o impacto operacional, a Microsoft coloca uma transição em três fases. Na primeira etapa, serão disponibilizadas ferramentas de auditoria melhoradas (já presentes no Windows 11 24H2 e na pré-visualização do Windows Server 2025) para que os administradores locaisizem onde segue utilizando-se NTLM em seus ambientes. Essa visibilidade é fundamental: muitos erros e adesivos por dependência de serviços herdados surgem precisamente por desconhecer quais aplicativos ou dispositivos delegam em NTLM.

A segunda fase, prevista para a segunda metade de 2026, introduz capacidades pensadas para cobrir cenários legítimos que historicamente causaram a queda ao uso de NTLM, como IAKerb (Integrated Authentication for Kerberos) e um Local Key Distribution Center que facilita operações locais sem recurso ao protocolo antigo. Finalmente, numa terceira etapa, as autenticações NTLM de rede ficarão desactivadas por defeito em futuras versões; o protocolo continuará presente no sistema por compatibilidade e poderá ser reactivado por políticas explícitas se alguma organização o precisar temporariamente.

Este itinerário já foi anunciado pela Microsoft há meses e faz parte de uma estratégia mais ampla que busca avançar para modelos de autenticação sem senhas e resistentes ao phishing. A empresa começou a alertar sobre a necessidade de deixar de usar NTLM há anos e, desde 2010, vem convidando desenvolvedores e administradores a migrarem para Kerberos ou mecanismos de negociação mais seguros. A documentação técnica sobre NTLM e sua deprecação está disponível na documentação oficial da Microsoft aqui, e o percurso de deprecação foi formalizado publicamente em 2024.

Para as equipes de TI, a recomendação prática é clara: começar o quanto antes com inventário e testes. Active a auditoria da NTLM para descobrir dependências, evalue aplicações e dispositivos de terceiros (impressores, equipamentos legacy, integrações antigas) e planifique mitigações ou substituições. Onde não é possível remover a NTLM imediatamente, a Microsoft e outros fornecedores recomendam configurações e proteções específicas - por exemplo, a utilização de certificados e serviços do Active Directory Certificate Services (AD CS) para reduzir a eficácia dos relays - e aplicar todas as guias oficiais de endurecimento.

A transição não estará isenta de fricções: muitas organizações dependem de soluções legadas que não receberam atualizações em anos, e em ambientes industriais ou de controle existem dispositivos que só suportam esquemas antigos. Por isso, a possibilidade de reativar NTLM através de políticas administrativas oferece um colchão temporário, mas não deve ser entendida como uma desculpa para adiar a modernização. Finalmente, fortalecer a autenticação é apenas uma peça: combinar com segmentação de rede, monitoramento e detecção precoce aumenta dramaticamente a resiliência contra invasões.

Em suma, o anúncio da Microsoft representa uma chamada de atenção para todos os responsáveis pela segurança: o futuro imediato do Windows priorizará Kerberos e métodos sem senha, e a NTLM será bloqueada por defeito, salvo necessidade explícita. Aqueles que gerem infra-estruturas devem aproveitar as ferramentas de auditoria já disponíveis, planear a migração de serviços e rever integrações com fornecedores, porque a janela para se adaptar convida a agir agora e evitar surpresas quando a nova política é aplicada de forma generalizada.