Microsoft змінює безпеку Windows 11: пристрої з дублікатними SID можуть бути заблоковані для входу

DNVN – Microsoft щойно впровадила важливу зміну безпеки у Windows 11 версій 24H2 та 25H2, через що комп’ютери, що використовують клони або дублікати ідентифікаторів безпеки (SID), не можуть входити в мережу та отримувати доступ до неї. Ця проблема має сильний вплив як на окремих осіб, так і на підприємства.

Після випуску оновлення Windows 11 версії 25H2, Microsoft непомітно впровадила важливе налаштування безпеки для пристроїв з дублікатними SID (ідентифікаторами безпеки). Відповідно, пристрої Windows 11 24H2 та 25H2 більше не дозволятимуть автентифікацію NTLM та Kerberos, якщо пристрій має той самий SID, що й інший пристрій.

Ця зміна має підвищити безпеку користувачів та запобігти атакам через неналежне клонування системи. Однак нова політика також створює багато проблем, особливо для компаній, які використовують велику кількість комп’ютерів, розгорнутих з однієї стандартної інсталяції.

(Ілюстрація)

Вплив змін

Таке посилення, по-перше, допомагає запобігти копіюванню або «клонуванню» системи з оригінальної інсталяції, зберігаючи при цьому ідентифікатор SID, який можуть використовувати зловмисники для отримання несанкціонованого доступу або поширення шкідливого програмного забезпечення. Однак, згідно з відгуками спільноти користувачів та ІТ-адміністраторів, наслідки цієї політики не малі.

Багато комп’ютерів після оновлення до нової версії Windows 11 зіткнулися з ситуацією, коли постійно з’являється запит на вхід або повідомлення про помилки, такі як «Не вдалося ввійти», «Не вдалося ввійти/ваші облікові дані не працюють» або «Ідентифікатор машини частково не відповідає дійсності», що призводить до перебоїв у доступі до мережевих ресурсів. Деякі пристрої також блокуються під час підключення до спільних папок, мережевих дисків або інструментів віддаленого робочого столу.

Для компаній, які розгортають системи у великих масштабах, використання кількох комп’ютерів, що використовують один і той самий інсталяційний файл, клонований з ISO-файлу без проходження етапу «узагальнення», може призвести до того, що низка пристроїв матиме дублікати SID, що призведе до одночасних помилок автентифікації та безпосередньо вплине на внутрішні операції.

Рекомендації від Microsoft

У цій ситуації Microsoft рекомендує окремим користувачам та адміністраторам підприємства використовувати інструмент Sysprep (System Preparation Tool) для «узагальнення» системи перед клонуванням або розгортанням великої кількості комп’ютерів. Цей інструмент допомагає видалити стару ідентифікаційну інформацію, гарантуючи, що кожен пристрій має унікальний SID та може стабільно працювати у внутрішній мережі.

За даними Microsoft, недотримання правильного процесу створення образу системи може призвести до багатьох ризиків для безпеки, особливо в корпоративних середовищах, де сотні пристроїв підключені та спільно використовують ресурси. Представник компанії також попередив, що навмисне підтримка застарілих версій операційної системи або ігнорування патчів безпеки є «відкритими дверима» для хакерів.

Наслідки та реакція користувачів

На міжнародних технологічних форумах багато адміністраторів висловлювали своє розчарування, коли на низці пристроїв у системі виникли помилки після оновлення Windows 11. Один користувач поділився: «Це змусило нас переглянути весь процес розгортання нових машин. Якщо не внести корективи, сотні пристроїв одночасно виникатимуть помилки входу та перериватимуть роботу».

Багато користувачів комп’ютерів із «клонами жорстких дисків» для швидкої інсталяції стикалися з подібними проблемами, що змусило багатьох тимчасово повернутися до Windows 10 або відкласти оновлення. Однак Microsoft заявила, що це необхідний крок для стандартизації системи безпеки та забезпечення унікального ідентифікатора для кожного пристрою, що допоможе запобігти майбутнім атакам.

Заходи Microsoft щодо безпеки відбуваються на тлі того, що компанія підштовхує користувачів до переходу на Windows 11, оскільки офіційна підтримка Windows 10 досягає кінця. Хоча Microsoft припинила надавати оновлення безпеки для старішої операційної системи, вона постійно додає більше стандартів безпеки до Windows 11, включаючи вимогу до чіпа TPM 2.0, захист системного ядра (HVCI) та тепер унікальний механізм перевірки SID для кожного пристрою.

На думку експертів з кібербезпеки, цей крок необхідний у довгостроковій перспективі, оскільки допомагає зменшити ризик атак шкідливих програм або несанкціонованого доступу через клони. Однак розгортання без чіткого попередження залишило багатьох людей та підприємства пасивними, особливо ті підрозділи, які залежать від моделі швидкого розгортання з використанням клонів.

Впровадження Microsoft нових правил SID у Windows 11 24H2 та 25H2 є спробою посилити безпеку системи, але також створює проблеми з керуванням та розгортанням синхронізованих пристроїв. Користувачам та компаніям необхідно заздалегідь переглянути процес встановлення, переконавшись, що кожен комп’ютер належним чином «узагальнено» перед використанням.

Хоча ця зміна має покращити безпеку в довгостроковій перспективі, її тихе впровадження без будь-якого конкретного попередження призвело до шоку та здивування багатьох користувачів, оскільки їхні системи раптово перестали працювати. Це суворе нагадування про те, що у світі технологій, де дедалі більше уваги приділяється безпеці, дотримання правильних технічних процедур – це не просто рекомендація, а вимога для безпечної роботи.

Нгуєн Бах

Джерело: https://doanhnghiepvn.vn/cong-nghe/microsoft-thay-doi-bao-mat-windows-11-may-trung-sid-co-the-bi-khoa-dang-nhap/20251103110013099