Windows 11에는 2가지 새로운 인증 방법이 제공됩니다.
레드몬드에 본사를 둔 거대 기술 기업에 따르면 Microsoft는 Windows 11에 대한 새로운 인증 방법을 선보입니다. 최신 블로그 게시물. 새로운 인증 방법은 훨씬 덜 의존적입니다. NTLM(NT LAN Manager) 기술에 대한 Kerberos 기술의 신뢰성과 유연성을 활용하게 됩니다.
2가지 새로운 인증 방법은 다음과 같습니다.
- Kerberos(IAKerb)를 사용한 초기 및 통과 인증
- 로컬 키 배포 센터(KDC)
또한 레드먼드에 본사를 둔 거대 기술 기업은 NTLM 감사 및 관리 기능을 개선하고 있지만 이를 계속 사용할 목적은 아닙니다. 목표는 조직이 이를 더 잘 제어할 수 있는 능력을 제공할 수 있을 만큼 이를 개선하여 제거하는 것입니다.
또한 조직에서 NTLM 사용에 대한 더 많은 통찰력을 제공하고 이를 제거하기 위한 더 나은 제어 기능을 제공하기 위해 향상된 NTLM 감사 및 관리 기능을 도입하고 있습니다. 우리의 최종 목표는 모든 Windows 사용자에 대한 인증 보안 기준을 향상시키기 위해 NTLM을 사용할 필요성을 전혀 없애는 것입니다.
마이크로소프트
Windows 11의 새로운 인증 방법: 모든 세부 정보
Microsoft에 따르면 IAKerb는 클라이언트가 보다 다양한 네트워크 토폴로지에서 Kerberos를 사용하여 인증할 수 있도록 하는 데 사용될 것입니다. 반면 KDC는 로컬 계정에 Kerberos 지원을 추가합니다.
레드몬드에 본사를 둔 거대 기술 기업은 아래에서 읽을 수 있듯이 Windows 11에서 2가지 새로운 인증 방법이 어떻게 작동하는지 자세히 설명합니다.
IAKerb는 도메인 컨트롤러에 대한 가시성이 없는 클라이언트가 가시성이 있는 서버를 통해 인증할 수 있도록 하는 업계 표준 Kerberos 프로토콜의 공개 확장입니다. 이는 협상 인증 확장을 통해 작동하며 Windows 인증 스택이 클라이언트 대신 서버를 통해 Kerberos 메시지를 프록시할 수 있도록 합니다. IAKerb는 Kerberos의 암호화 보안 보장을 통해 서버를 통해 전송되는 메시지를 보호하여 재생 또는 릴레이 공격을 방지합니다. 이 유형의 프록시는 방화벽 분할 환경 또는 원격 액세스 시나리오에 유용합니다.
마이크로소프트
Kerberos용 로컬 KDC는 로컬 시스템의 보안 계정 관리자 위에 구축되므로 Kerberos를 사용하여 로컬 사용자 계정의 원격 인증을 수행할 수 있습니다. 이는 IAKerb를 활용하여 Windows가 DNS, netlogon 또는 DCLocator와 같은 다른 엔터프라이즈 서비스에 대한 지원을 추가하지 않고도 원격 로컬 시스템 간에 Kerberos 메시지를 전달할 수 있도록 합니다. 또한 IAKerb는 Kerberos 메시지를 수락하기 위해 원격 시스템에서 새 포트를 열도록 요구하지 않습니다.
마이크로소프트
레드먼드에 본사를 둔 거대 기술 기업은 NTLM 프로토콜의 사용을 제한하는 데 열중하고 있으며 회사는 이에 대한 솔루션을 가지고 있습니다. 
Kerberos 시나리오 적용 범위를 확장하는 것 외에도 기존 Windows 구성 요소에 내장된 하드 코딩된 NTLM 인스턴스를 수정하고 있습니다. NTLM 대신 Kerberos를 사용할 수 있도록 이러한 구성 요소를 Negotiate 프로토콜을 사용하도록 전환하고 있습니다. Negotiate로 이동하면 이러한 서비스는 로컬 및 도메인 계정 모두에 대해 IAKerb 및 LocalKDC를 활용할 수 있습니다.
마이크로소프트
고려해야 할 또 다른 중요한 점은 Microsoft가 궁극적으로 Windows 11에서 NTLM 프로토콜을 제거하는 것을 목표로 NTLM 프로토콜 관리만 개선한다는 사실입니다.
NTLM 사용을 줄이면 궁극적으로 Windows 11에서 비활성화됩니다. 우리는 데이터 기반 접근 방식을 취하고 NTLM 사용량 감소를 모니터링하여 비활성화해도 안전한 시기를 결정하고 있습니다.
마이크로소프트
레드몬드에 본사를 둔 기술 대기업이 준비했습니다. 짧은 가이드 회사와 고객에게 NTLM 인증 프로토콜 사용을 줄이는 방법에 대해 설명합니다.
