C’è un vecchio meccanismo di autenticazione che Windows si porta dietro da quasi trent’anni. Si chiama NTLM. Per decenni ha gestito l’accesso a sistemi e risorse, aprendo milioni di sessioni. Ma con il tempo è diventato sempre più fragile, con le giuste competenze, quella “chiave” poteva essere replicata o aggirata da chi non avrebbe dovuto averla. Ora Microsoft ha deciso di mandarlo in pensione.
Da qualche anno l’azienda spinge i suoi utenti verso Kerberos, relegando il vecchio protocollo al ruolo di comparsa. La novità è che nelle prossime versioni di Windows, sia client sia server, NTLM arriverà già disattivato. Nel pacchetto di sicurezza di riferimento per Windows Server 2025 si può intanto sbirciare chi bussa ancora con quel metodo, prima di chiudergli la porta in faccia.
Windows dice addio a NTLM, arriva Kerberos
Al posto della vecchia serratura ne arrivano due. La prima si chiama IAKerb e serve quando un dispositivo non riesce a parlare direttamente con il Domain Controller, il servizio di destinazione fa da intermediario e porta avanti lo scambio Kerberos al posto suo.
La seconda è LocalKDC e porta Kerberos dove prima regnava NTLM senza rivali: gli account locali. Dispositivi isolati, gruppi di lavoro, macchine che vivono per conto proprio. Niente più scorciatoie d’altri tempi per autenticarsi in casa propria.
Le due novità debuttano con la prossima build del canale Canary, riservato agli iscritti al programma Insider. IAKerb sarà attivo da subito, LocalKDC no, chi vuole provarlo dovrà farlo tramite chiavi del Registro di Windows. Più avanti, mano a mano che la cosa si avvicina al grande pubblico, gli stessi interruttori spunteranno anche negli strumenti di gestione e nei Criteri di gruppo.
Il tempo stringe…
Microsoft sa benissimo che qualcuno resta affezionato a NTLM per usi di nicchia, il protocollo che non muore mai, sopravvissuto a generazioni di Windows. La speranza, nemmeno troppo velata, è che IAKerb e LocalKDC colmino le ultime lacune e rendano definitivamente superfluo il vecchio sistema.
Il consiglio dell’azienda, per chi ancora si affida alla vecchia chiave, è uno solo: iniziare a testare le alternative già nelle versioni di anteprima, individuare eventuali problemi e prepararsi al cambiamento. Perché, questa volta, la transizione non si può rimandare, la porta sta per chiudersi davvero.
Ti potrebbe interessare
4 giu 2026