WiFi posle oktobarskog ažuriranja traži lozinku: uzrok je NTLMv1 SSO, a trajno rešenje EAP-TLS
Ako su posle bezbednosnog ažuriranja od utorka, 13. oktobra 2026, zaposleni počeli da dobijaju prozor za korisničko ime i lozinku pri povezivanju na kompanijski WiFi, niste jedini. Isti simptom se ove nedelje pojavio u mnogim firmama. Uzrok nije kvar na ruteru ni na pristupnim tačkama, već planirana bezbednosna izmena u Windowsu koju je Microsoft najavio još u avgustu 2025.
Šta se tačno promenilo
Mnoge firme koriste WiFi sa prijavom preko domenskog naloga (WPA2 ili WPA3 Enterprise, 802.1X), najčešće u varijanti PEAP-MSCHAPv2. Korisnik se jednom prijavi na računar, a Windows ga istim podacima automatski poveže i na mrežu. To automatsko prijavljivanje (SSO, single sign-on) oslanja se na kredencijale izvedene iz starog protokola NTLMv1.
Ažuriranjem od 13. oktobra (KB5127648 za Windows 11, KB5126646 za Windows Server 2025) Microsoft je promenio podrazumevano ponašanje. Ako podešavanje BlockNtlmv1SSO nije izričito postavljeno, Windows takve zahteve više ne propušta, nego ih blokira. Izmena važi za Windows 11 verzije 24H2, 25H2 i 26H2 i za Windows Server 2025, i pogađa WiFi, žičnu mrežu sa 802.1X prijavom i VPN, svuda gde se koristi MS-CHAPv2.
Ručna prijava i dalje radi. Zato problem izgleda kao „WiFi traži lozinku“, a ne kao potpuni prekid. Za zaposlene je to svakodnevna smetnja, a za IT podršku talas istih poziva.
Zašto Microsoft ovo radi
NTLMv1 i MS-CHAPv2 su protokoli stari više od dvadeset godina. Microsoft navodi da su veze zasnovane na MS-CHAPv2 izložene sličnim napadima kao NTLMv1, kod kojih napadač iz uhvaćene prijave može da dođe do heša lozinke, a time i do pristupa mreži.
Na računarima sa uključenim Credential Guard-om ovakvo automatsko prijavljivanje je već ranije bilo blokirano. Oktobarska izmena zato pogađa računare na kojima je Credential Guard isključen, što je u malim i srednjim firmama čest slučaj.
Kako da proverite da je ovo uzrok
Na pogođenom računaru otvorite Event Viewer i dnevnik Applications and Services Logs > Microsoft > Windows > NTLM > Operational. Događaj 4025 znači da je zahtev blokiran, a 4024 da je samo zabeležen. Ako se 4025 pojavljuje u trenutku kada je WiFi zatražio lozinku, uzrok je potvrđen.
Privremeno rešenje i njegova cena
Microsoft dozvoljava da se ponašanje vrati u režim praćenja (Audit), upisom vrednosti BlockNtlmv1SSO = 0 (REG_DWORD) u HKLM\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0. Vrednost se postavlja na računaru, ne na RADIUS serveru, i restart nije potreban.
Ali Microsoft ovo izričito naziva ograničenim i privremenim bezbednosnim izuzetkom, koji smanjuje zaštitu. Zato ga savetujemo samo ciljano, na računarima kojima je zaista potreban, i uz unapred dogovoren rok do kog se gasi. Izuzetak kupuje vreme, ali ne rešava problem.
Trajno rešenje: prijava sertifikatom (EAP-TLS)
Microsoft preporučuje prelazak sa MS-CHAPv2 (PEAP-MSCHAPv2, EAP-MSCHAPv2) na prijavu sertifikatom, PEAP-TLS ili EAP-TLS. Kod EAP-TLS-a računar ili korisnik dokazuje identitet sertifikatom koji je izdala vaša firma, a ne lozinkom. Takvu prijavu ne blokiraju ni oktobarska izmena ni Credential Guard, lozinka se ne koristi za pristup mreži, a uređaj bez kompanijskog sertifikata ne može na mrežu ni sa ispravnom lozinkom.
Prelazak je projekat, ali ne mora da bude veliki. Potrebno je sertifikaciono telo, interno (Active Directory Certificate Services) ili u oblaku kroz Intune, i automatsko izdavanje sertifikata računarima i korisnicima. Zatim se menjaju pravilo na RADIUS serveru, najčešće NPS, i WiFi profil na računarima. Posebno se planiraju uređaji van domena, poput telefona, gostiju i štampača. Pristupne tačke najčešće ne treba menjati, jer prijavu samo prosleđuju RADIUS serveru.
Najbezbedniji redosled je pilot na nekoliko računara, pa ostatak firme, bez prekida rada. Na kraju se privremeni izuzetak ukida i mreža je bezbednija nego pre ažuriranja.
Zaključak
Oktobarska izmena nije greška koju treba zaobići, nego jasan signal da je prijava lozinkom na kompanijsku mrežu stvar prošlosti. Firme koje redovno ažuriraju i nadziru svoju infrastrukturu ovakve promene dočekaju sa planom, a ne sa talasom poziva.
Iskoristite besplatnu procenu i saznajte koji su vaši računari pogođeni, da li je privremeno rešenje kod vas bezbedno i šta konkretno znači prelazak na EAP-TLS u vašoj mreži. Dobijate jasan plan prelaska, bez obaveze.
Javite se na 0677 420 420 ili 032 420 420, ili preko kontakt stranice, i pomoći ćemo vam da WiFi u firmi ponovo radi bez lozinke, ovog puta trajno i bezbednije.
