ネットワークセキュリティ：NTLM SSPベースのクライアントの最小セッションセキュリティとは何か？

はじめに

「ネットワークセキュリティ：NTLM SSPベース（セキュアRPCを含む）クライアントの最小セッションセキュリティ」は、NTLM認証による接続に対して最低限求める保護レベル（メッセージの整合性や機密性など）を定義するWindowsのポリシー設定です。本記事では、この設定を含むNTLMに関する基本的な疑問をQ&A形式でわかりやすく解説します。

NTLMセッションセキュリティとは

NTLM（NT LAN Manager）は、Windowsネットワーク上のユーザーに対して認証・整合性・機密性を提供するマイクロソフトのセキュリティプロトコル群です。NTLMより古い製品としてMicrosoft LAN Manager（LANMAN）があり、NTLMはLANMANの認証プロトコルの後継にあたります。

NTLMとは何の略称か

NTLM（New Technology LAN Manager）は、ユーザーのID認証、通信内容の保護、そしてその整合性と機密性の確保を目的とした一連のマイクロソフト製セキュリティプロトコルです。

NTLMSSPの用途

NTLMSSP（NT LAN Manager Security Support Provider）は、Microsoft Security Support Provider Interface（SSPI）が利用するバイナリメッセージングプロトコルです。チャレンジ・レスポンス方式によるNTLM認証を仲介するとともに、メッセージの整合性と機密性のネゴシエーションも担います。

NTLMv1は安全か

NTLMv1プロトコルの使用がネットワークセキュリティに与える悪影響を理解することは極めて重要です。脆弱性があるため、不適切に運用するとネットワーク全体が危険にさらされる可能性があります。可能な限りNTLMv2への移行、またはKerberos認証への切り替えが推奨されます。

NTLMを無効化する方法

secpol.mscを実行してローカルセキュリティポリシーを開き、「ローカルポリシー」→「セキュリティオプション」にある「ネットワークセキュリティ：NTLMを制限する：リモートサーバーへの送信NTLMトラフィック」を設定します。これにより、リモートサーバー宛てのすべてのNTLMトラフィックを拒否できます。

NTLMが使用される場面

ワークグループ構成でWindows認証を利用する場合にはNTLM認証が必要になります。また、ドメインコントローラーでのローカルログオン認証にもNTLMが使用されます。現在のWindowsでも、Windows認証の一部としてNTLMは引き続きサポートされています。

NTLMの仕組み

NTLMは暗号化されたチャレンジ・レスポンスプロトコルによってユーザー認証を行い、パスワードそのものがネットワーク上を流れることを防ぎます。クライアントはパスワードの暗号学的ハッシュ値を計算し、実際のパスワードを破棄した上で、暗号化されたユーザー名をサーバーへ送信します。

認証の流れは以下のとおりです。

1. クライアントがホストにユーザー名を送信する。
2. ホストがランダムな数値（チャレンジ）を返す。
3. クライアントはそのデータとパスワードに基づいてハッシュ値を計算し、レスポンスとしてサーバーに返信する。

Active DirectoryにおけるNTLM

Active Directoryドメインの一部として、Windows NT LAN Manager（NTLM）はチャレンジ・レスポンス方式の認証プロトコルでクライアントを認証します。シングルサインオン（SSO）環境では、ユーザーはログイン時に一度だけ認証情報を入力すればよく、以降は複数回の入力を求められません。

NTLMはLDAPなのか

NTLM認証モジュールは、認証プロセスの中でWindows Active Directoryへの単純なLDAP接続を利用します。このLDAPモジュールはMicrosoft Windows Active Directory専用に設計されており、検証はIIS6およびWindows Server 2003ドメインコントローラーのActive Directory環境で実施されたものです。

なぜNTLMが使われるのか

NTLMは「Windows Challenge/Response」とも呼ばれ、Windows OSが稼働するスタンドアロンコンピューターやネットワークで使用される認証プロトコルです。認証プロセスは暗号化を用いたチャレンジ・レスポンス方式に基づいており、パスワードをインターネット経由で送信しない点が特徴です。

NTLMSSPプロセスとは

認証サービス識別子RPC_C_AUTHN_WINNTを持つNTLMSSPは、すべてのDCOMバージョンで利用可能なセキュリティサポートプロバイダーです。認証手順はNTLMプロトコルに基づき、NTLMクライアントのIDはドメイン名・ユーザー名・パスワードまたはトークンで構成され、これらによる認証が必要となります。

NTLMが使用されているか確認する方法

どのアプリケーションがNTLMv1を使用しているかを特定するには、まずドメインコントローラーでログオン成功の監査を有効にします。その後、成功の監査ログからイベント4624を確認してください。このイベントには、使用されたNTLMのバージョン情報が記録されています。