Na Windows serverech to už docela dlouho by default povoleno není a musí se to explicitně zapnout. Ve W10 snad taky, W7 si nejsem jistý.
NTLMv1 vyžadovaly WinXP a pak nejedna síťová multifunkce, která měla sambu s dost dlouho default nastavením, zakazujícím vyšší verzi protokolu.
Když jsem to (po smrti posledních XP v síti) na serverech zakázal, museli jsme ty starší multifunkce překlopit na ftp a zbyli někteří uživatelé Linuxu, kteří měli neaktualizované smb.conf, ale tam to spravily 2 řádky.
Ono to ma jeste jednu takovou konotaci, MS prohlasil cely NTML (vcetne v2) za deprecated, jenze jim bez toho tak 90% jejich vlastnich veci vubec neumi fungovat. A samozrejme zdaleka nejen ms.
Mimochodem, AD na 2k22 maji ntml v1 by default povoleno.
Povoleno znamená, že v tom LDAPu jsou doopravdy i ty staré LM hashe, tedy že ty hesla jsou efektivně zkrácena na 13 znaků max?
Jsem doteď vážně žil v tom, že u nových instalací někdy od 2003 je alespoň tohle zakázané a je tam jenom ta v2... která je teda taky příšerná, protože zase v LDAPu jsou MD4 nesolené hashe a NTLM to pak akorát s challengí prožene MD5kou, takže taky něco co patří spíše do devadesátek...
Ehm ... Get-ADReplAccount (pustis to as admin na DC) ... vrati ti to vsechny varianty hashu ktery tam jsou. Samo vcetne tech kratkych.
Tuhle je to vcetne samplu.
A neni to zdaleka jen o ntml, kerb ve widlich taky bydefault pouziva rc4, a zbavit se toho je pomerne silena operace s nejistym vysledkem a nutnosti primet uzivatele aby si opakovane menili hesla. (prej ... ale jen prej, to tak v 2k25 bydefault uz nebude, nevim, netestoval sem, to jeste neni ani k testovani pouzitelny ...)
Zkusil jsem to pustit na Win 2016 DCčku. LMHash mi to ukazuje u uživatelských účtů prázdný, NTHash je vyplněný. Což bych teda chápal tak, že tam ty hashe pro NTLMv1 nejsou, ne?
(Pominu teď, že v LMHashHistory nějaké záznamy mám... ale ty hashe jsou stejně dlouhé jako NTHash / NTHashHistory).
Protoze to mas nejakou politikou vypnuty, rec byla o bydefault stavu.
Network security: LAN Manager authentication level Send NTLMv2 response only. Refuse LM & NTLM
atd
Jako bonus cca posledni 3 roky soudruzi z ms veci ve velkym rozbijej, pak je zase spravujou, vydavaj na to vsemozny opravy opravenych oprav ... a to vse proto, ze prakticky odjakziva widle a vsechny nejen ms produkdy prosazujou politiku, ze kdyz nejaky zabezpeceni, tak vzdy to nejhorsi dostupny.
Kuprikladu .NETti appky ti tls 1.2+ bez dalsiho nepouzijou. A kdyz si na widlich, i tech nejnovejsi, pokusis vypnout tls 1.2 (sak prece ms tvrdi, ze to umi 1.3 ....) tak ti ani nenabootujou.
Jako, já na tu politiku nesahal a trochu pochybuju, že z těch pár lidí co šlo okolo toho systému by na tohle sahali... ale úplně vyloučit to nemůžu :-)
Co se týče TLS - ano, u toho jsem se nasmál zrovna včera, když jsem tam chtěl doinstalovat ty powershell scripty abych to pustil. Nemohlo to nainstalovat nuget. Protože přímo ta stránka s repozitářem na doméně microsoft.com vynucuje jenom novější TLS, než to ten Server 2016 připustí. Nebo obráceně. To prostě člověk nevymyslí... :-)