Cách thay đổi mức tương thích LM
- Mở regedit
- Điều hướng: HKLM/System/CurrentControlSet/Control/LSA
- Nếu không thấy LMCompatibilityLevel, tạo REG_DWORD mới (Edit > New > DWORD)
- Đặt tên "LMCompatibilityLevel"
- Double-click để chỉnh sửa giá trị
Chính sách "Network Security: LAN Manager authentication level" ở đâu?
Computer Configuration -> Policies -> Windows Settings -> Security Settings -> Local Policies -> Security Options.
Mức độ tương thích LM là gì?
Ba giao thức trong Windows: LAN Manager (LM) - bảo mật thấp nhất; NTLMv1 - tốt hơn LM nhưng kém hơn NTLMv2.
Cách biết NTLMv1 có được bật không?
Bật Logon Success Auditing trên domain controller, tìm Event 4624 chứa thông tin NTLM.
Cách đặt lại cấp độ xác thực LAN Manager
Tải bản sửa lỗi "Network Security: LAN Manager authentication", chạy file, khởi động lại máy tính.
Cách vô hiệu hóa cấp độ xác thực LAN Manager
Cùng vị trí Group Policy trên. Registry cũng có setting để vô hiệu hóa NTLMv1.
Cấp độ xác thực LAN Manager là gì?
Quy định giao thức xác thực được chấp nhận: LM, NTLM, NTLMv2. NTLMv2 an toàn nhất nhờ chống tấn công replay.
Cách biết đang dùng NTLM
Xem event log Kerberos. Nếu truyền credentials mà không thấy hoạt động Kerberos -> đang dùng NTLM.
Cách bật NTLMv1
Local Computer Policy -> Computer Configuration -> Windows Settings -> Security Settings -> Local Policies -> Security Options -> "Network Security: LAN Manager authentication level" -> Properties -> Chọn "Reject LM & NTLM" để chỉ gửi NTLMv2.
Điều gì xảy ra nếu vô hiệu hóa NTLM?
Rủi ro: ứng dụng cũ hoặc cấu hình sai dùng NTLM sẽ thất bại. Cần cấu hình chúng dùng Kerberos.