Microsoft annonce la désactivation par défaut de NTLM dans les futures versions de Windows

Microsoft a confirmé qu’il allait désactiver par défaut le protocole d’authentification NTLM (NT LAN Manager) dans les futures versions de Windows — notamment dans les prochains Windows Server et les éditions clients associées — dans le cadre d’un plan de modernisation de la sécurité. Cette décision marque une étape importante dans la transition vers des méthodes d’authentification plus robustes et résistantes au phishing.

Qu’est-ce que NTLM et à quoi sert-il ?

NTLM (NT LAN Manager) est un protocole d’authentification développé par Microsoft à la fin des années 1990 pour permettre aux utilisateurs de s’authentifier sur des systèmes Windows et des ressources réseau (partages de fichiers, imprimantes, services). Concrètement, NTLM sert à vérifier l’identité d’un utilisateur sans transmettre son mot de passe en clair : le système échange des hashs dérivés du mot de passe pour prouver l’authentification. Pendant de nombreuses années, NTLM a été largement utilisé dans les environnements Windows, en particulier sur des réseaux locaux simples ou avec des applications héritées. Toutefois, ce protocole repose sur des mécanismes cryptographiques aujourd’hui dépassés et ne fournit pas les protections modernes contre les attaques réseau, ce qui explique pourquoi Microsoft cherche désormais à le remplacer par des solutions plus sûres comme Kerberos.

Ce protocole est utilisé depuis près de 30 ans pour l’authentification dans les environnements Windows, a longtemps été maintenu pour assurer la compatibilité avec des systèmes anciens et des scénarios réseau hérités.
Toutefois, ses mécanismes sont désormais jugés insuffisants face aux menaces modernes telles que les attaques de type Pass-the-Hash ou NTLM Relay.

Une transition en trois phases

Microsoft a exposé une approche progressive pour réduire et finalement désactiver NTLM par défaut :

Phase 1 (Actuelle) : les administrateurs peuvent utiliser des outils d’audit NTLM dans Windows 11 24H2 et Windows Server 2025 pour repérer où NTLM est encore utilisé dans les réseaux.
Phase 2 (Second semestre 2026) : Microsoft introduira des technologies comme IAKerb et un Key Distribution Center local (Local KDC) pour gérer des scénarios qui forcent actuellement le recours à NTLM lorsqu’une communication Kerberos n’est pas possible.
Phase 3 (Futures versions) : NTLM sera désactivé par défaut pour l’authentification réseau dans les prochaines versions de Windows, bien que le protocole restera présent dans l’OS et pourra être réactivé via une politique si nécessaire.

Selon Microsoft, cette démarche ne signifie pas le retrait immédiat de NTLM, mais plutôt que le système sera livré dans un état « secure-by-default » où Kerberos et d’autres méthodes plus modernes sont privilégiées.

Pourquoi cette évolution est importante

NTLM est considéré comme un protocole obsolète et vulnérable parce qu’il repose sur des mécanismes cryptographiques anciens et que certains scénarios d’attaque modernes permettent d’exploiter ses faiblesses — notamment via des techniques comme Pass-the-Hash ou Pass-the-Ticket, qui exploitent la façon dont les identifiants sont transmis ou stockés dans certains contextes réseau.

En mettant NTLM en arrière-plan et en rendant Kerberos ou des alternatives plus sécurisées la norme, Microsoft veut réduire l’exposition des systèmes Windows aux attaques par usurpation d’identité et aux mouvements latéraux dans les réseaux. Cette stratégie s’aligne avec les principes de Zero Trust et avec les efforts continus de Microsoft pour renforcer la sécurité par défaut sur ses plateformes.

Impacts pour les entreprises et les administrateurs

La désactivation de NTLM par défaut aura des implications pratiques, notamment dans les environnements d’entreprise où des applications ou services hérités utilisent encore NTLM pour l’authentification. Voici ce que les responsables IT doivent prendre en compte :

Audit des dépendances NTLM : avant que NTLM soit désactivé par défaut, les organisations devront identifier quelles applications, services ou scripts utilisent encore NTLM et planifier leur migration ou remplacement.
Migration vers Kerberos et alternatives modernes : Kerberos, qui est le protocole modern par défaut depuis Windows 2000, offre une sécurité nettement supérieure et devrait être adopté partout où c’est possible.
Test et validation : des environnements de test devront être mis en place pour valider que les systèmes continuent de fonctionner une fois NTLM désactivé.
Stratégies de repli : bien que NTLM puisse être réactivé via des stratégies au besoin après désactivation par défaut, l’objectif à long terme est d’éliminer complètement cette dépendance.

À quoi s’attendre ensuite

Microsoft prévoit de rendre ces changements disponibles progressivement avec les prochaines versions de Windows Server et des éditions clientes. La seconde phase, avec des fonctionnalités comme IAKerb et Local KDC, est attendue dans la seconde moitié de 2026, et la désactivation par défaut de NTLM en production interviendra ensuite dans des versions futures.

Même une fois désactivé par défaut, NTLM restera toujours présent dans les systèmes pour garantir une compatibilité maximale, mais il ne sera plus utilisé automatiquement pour l’authentification réseau à moins d’être explicitement réactivé via une stratégie.

En résumé

Microsoft s’oriente vers une suppression progressive de NTLM comme méthode d’authentification par défaut dans les futures versions de Windows, au profit de solutions modernes comme Kerberos. Ce changement, prévu en plusieurs étapes entre 2026 et les années suivantes, a pour but de renforcer la sécurité des environnements Windows en réduisant les vecteurs d’attaque liés à un protocole jugé obsolète et vulnérable.

Source(s) :