Microsoft endurece NTLMv1 en Windows 11 y Server 2025, afectando a PEAP
El proveedor de software limita el uso de este protocolo legacy en sus sistemas operativos más recientes, obligando a las redes corporativas y educativas a acelerar la migración hacia TLS.
Microsoft ha publicado documentación técnica que detalla la reducción progresiva del soporte para NTLMv1 en las versiones 24H2 de Windows 11 y 2025 de Windows Server. El cambio no es cosmético: busca eliminar un protocolo de autenticación antiguo y vulnerabilizado, lo que impacta directamente a entornos de red que aún dependen de configuraciones heredadas, especialmente aquellas que utilizan PEAP sin opciones de mejora inmediatas.
Impacto en infraestructura y BYOD
La comunidad de profesionales de redes ya está debatiendo las consecuencias operativas. El escenario más problemático no suele darse en equipos gestionados centralmente, donde el despliegue de políticas de grupo o agentes MDM permite actualizar los clientes de forma controlada. El punto de dolor real llega con los dispositivos personales en modelos BYOD, comunes en el sector educativo y en empresas con fuerza laboral híbrida.
El riesgo operativo inmediato es la interrupción de la experiencia de usuario. Si el cliente Windows rechaza la negociación NTLMv1 en el momento del handshake, y el controlador de puntos de acceso o el servidor RADIUS no está preparado para escalar correctamente a TLS, el terminal perderá la sesión. Esto se traduce en que el usuario verá cómo su conexión cae al moverse de un acceso punto a otro, perdiendo la funcionalidad de roaming rápido. En lugar de una transición transparente, tendrá que reingresar sus credenciales manualmente cada vez que el dispositivo detecte un cambio de celda o una degradación de la señal que force una nueva autenticación.
Para los administradores de sistemas, esto acelera el reloj. Las arquitecturas que hoy funcionan con PEAP-MSCHAPv2, que internamente puede caer en NTLMv1 si no se configura EAP-TLS correctamente, quedarán obsoletas por diseño. La única vía viable a largo plazo es la migración completa a EAP-TLS, utilizando certificados digitales tanto para el servidor como para el cliente. Es un trabajoSucio: implica auditar toda la flota, desplegar certificados en dispositivos que no son propiedad de la organización y configurar los controladores de acceso inalámbricos para rechazar cualquier método que no sea TLS.
Microsoft no ha especificado una fecha de corte hard en esta nota preliminar, pero la tendencia es clara. La empresa está cerrando puertas a la compatibilidad con protocolos que ya son considerados inseguros por estándares modernos. Quienes estén entre la espada y la pared, con redes que funcionan pero que no cumplen con los criterios de seguridad de la próxima versión del sistema operativo, deben empezar a planificar la renovación de certificados y la actualización de la infraestructura RADIUS. Esperar a que Windows emita una actualización crítica que bloquee el tráfico puede resultar en tickets de soporte masivos y una productividad nula durante la fase de desconexión.
