Microsoft heeft aan een testversie van Windows 11 een nieuwe feature toegevoegd waardoor de ingebouwde SMB-client NTLM voor remote, uitgaande verbindingen kan blokkeren om zo verschillende soorten aanvallen tegen te gaan. Dat heeft het techbedrijf bekendgemaakt. NT LAN Manager (NTLM), en diens opvolger NTLMv2, is een challenge-en-response protocol waarmee gebruikers kunnen inloggen.

Al jarenlang is NTLM het doelwit van aanvallen. Zo kwam Microsoft afgelopen dinsdag nog met een beveiligingsupdate voor een actief aangevallen zerodaylek in Word. Via een malafide document kan een aanvaller het slachtoffer op zijn server laten inloggen, waarbij de hash van het wachtwoord van de gebruiker wordt verstuurd, die vervolgens kan worden onderschept. De aanvaller kan daarna proberen de NTLM-hash te kraken of die te 'relayen' en zich zo als het slachtoffer bij andere diensten te authenticeren.

De nieuwste Windows 11 Insider Preview Build beschikt over een feature genaamd 'SMB NTLM Blocking'. Daarmee kan een systeembeheerder instellen dat Windows 11 geen NTLM over SMB aanbiedt. Een aanvaller die een gebruiker of applicatie weet te misleiden om de NTLM challenge responses naar een malafide server te sturen zal geen NTLM-data meer ontvangen, en kan daardoor NTLM-hashes niet meer kraken of relayen. "Dit voegt een nieuw beveiligingsniveau voor bedrijven toe, zonder dat NTLM volledig in het besturingssysteem moet worden uitgeschakeld", zegt Amanda Langowski van Microsoft.