Windows cambia el modo predeterminado de NTLMv1 y puede cortar el SSO MS-CHAPv2

La actualización de seguridad de Windows del 13 de octubre cambia un valor predeterminado que puede aparecer como un problema de Wi-Fi, Ethernet o VPN. Microsoft pasa de Audit a Enforce para la generación de credenciales derivadas de NTLMv1 en ciertos flujos de inicio de sesión único, cuando Credential Guard está deshabilitado y el administrador nunca configuró BlockNtlmv1SSO. El cambio está documentado en KB5066470 y afecta Windows 11 24H2, 25H2 y 26H2, además de Windows Server 2025.

No se ha reactivado el protocolo NTLMv1 completo. Microsoft lo retiró de estas versiones de Windows, pero conserva criptografía derivada de NTLMv1 en algunos escenarios basados en MS-CHAPv2, incluidos PEAP-MSCHAPv2 y EAP-MSCHAPv2 en equipos unidos a dominio. La pieza que cambia es la decisión de permitir que esas credenciales se generen para SSO: antes se auditaban y se permitían; después del update se bloquean si el sistema está en las condiciones indicadas.

La clave del Registro BlockNtlmv1SSO no se crea ni se cambia automáticamente. Si está ausente y Credential Guard está apagado, el sistema aplica el modo Enforce como valor interno. En dispositivos con Credential Guard habilitado, Microsoft dice que el cambio no se aplica. Así que el alcance depende de dos condiciones comprobables, no de la mera presencia del parche ni de que una organización tenga redes Wi-Fi empresariales.

-InfraCrew dice:un ajuste de seguridad puede ser deliberado y aun así necesitar una ventana de pruebas.-

Por qué puede fallar una conexión que ayer funcionaba

El caso más visible es un perfil que utiliza credenciales de Windows para autenticarse automáticamente mediante MS-CHAPv2. Si esa ruta dependía de credenciales NTLMv1 derivadas, el SSO puede dejar de completarse después de aplicar la actualización. No significa que todas las redes 802.1X fallen, ni que el usuario pierda toda posibilidad de autenticarse: Microsoft señala que introducir las credenciales manualmente puede seguir funcionando en modo Enforce, aunque eso debe tratarse como pista diagnóstica, no como diseño estable.

La secuencia de auditoría ayuda a localizar dependencias. En Audit, el registro Microsoft-Windows-NTLM/Operational genera el evento 4024 cuando detecta el uso de esas credenciales; con el bloqueo, el evento 4025 registra el intento denegado. Los eventos contienen el proceso y el destino, datos que permiten buscar si el flujo afectado proviene del perfil de red, del cliente VPN o de una aplicación concreta. Es información más útil que atribuir cada fallo de autenticación a “la actualización de octubre” sin revisar el método utilizado.

El cambio completa una transición iniciada en 2025, cuando Microsoft empezó a auditar el uso antes de aplicar el bloqueo predeterminado. El plan pretende reducir dependencias heredadas que aún sobreviven dentro de protocolos de nivel superior. No es una regresión accidental en la que retirar el parche sea la respuesta automática: la documentación presenta el cambio como refuerzo de seguridad y recomienda revisar los flujos que todavía dependan de esa criptografía.

-InfraCrew dice:si el síntoma aparece en una VPN, revisa primero la autenticación; “VPN” describe el túnel, no el método que abre la puerta.-

Cómo preparar el cambio sin perder acceso

Los administradores deberían revisar equipos piloto y registros antes de una ampliación masiva, identificando dónde se usa SSO con MS-CHAPv2 y si Credential Guard cumple los requisitos para habilitarlo. Microsoft recomienda usar la fase de auditoría para localizar dependencias antes de la aplicación del bloqueo. La salida a largo plazo es retirar esos flujos heredados, con un método de autenticación basado en certificados cuando la arquitectura de Wi-Fi, Ethernet o VPN lo permita y tras probar los clientes y servidores implicados.

La excepción temporal documentada por Microsoft consiste en configurar BlockNtlmv1SSO en 0 como modo de auditoría si una dependencia crítica aún no puede migrarse. La propia guía advierte que ese modo reduce la protección y solo debería acotarse mientras se completa la corrección. No conviene desplegar esa excepción como una receta general ni dejarla sin propietario y fecha de revisión: restablece la generación de credenciales que el cambio pretende bloquear.

En los servidores, equipos inalámbricos y gateways también hay que comprobar qué perfil realmente negocia MS-CHAPv2; la etiqueta “802.1X” por sí sola no basta para identificar el riesgo. La comprobación operativa debe cruzar versión de Windows, estado de Credential Guard, valor explícito de la clave y eventos de NTLM, y probar el resultado en los métodos de acceso usados por cada grupo. Así se evita tanto una caída por dependencia oculta como una excepción permanente que vuelva a abrir la ruta de credenciales heredadas.

-InfraCrew dice:el modo de auditoría era el aviso previo; si nadie miró los eventos, el cambio no llega sin señales.-

Diccionario de la Crew

NTLMv1 derivado — material criptográfico antiguo que puede seguir generándose en determinados flujos aunque el protocolo NTLMv1 ya no esté disponible como protocolo independiente.

MS-CHAPv2 — método de autenticación de desafío-respuesta utilizado en algunos perfiles de acceso remoto y redes empresariales.

SSO — inicio de sesión único; permite reutilizar una identidad ya validada para acceder a otro servicio sin pedir todas las credenciales de nuevo.

Credential Guard — función de Windows que aísla secretos de autenticación para reducir su exposición ante malware con privilegios elevados.

Audit / Enforce — modos que, respectivamente, registran pero permiten el uso detectado, o lo bloquean.