Why PEAP-MSCHAPv2 fails on Windows 11 and how to fix it

Als Windows 11-computers na het patchen halverwege oktober geen verbinding meer maakten met je zakelijke Wi-Fi, of gebruikers ineens inlogprompts zagen die ze nooit eerder hadden gezien, ben je niet de enige. Na de Windows-beveiligingsupdate van 13 oktober 2026 kunnen veel apparaten die lid zijn van een domein en PEAP-MSCHAPv2 gebruiken met hun Windows-aanmelding niet langer automatisch inloggen op Wi-Fi, bekabelde 802.1X of VPN.

Dit is geplande hardening van Microsoft. Microsoft kondigde de wijziging in augustus 2025 aan als onderdeel van zijn inspanning om NTLM uit te faseren, en de update van oktober schakelde dit standaard in voor apparaten die niet op een van beide manieren waren geconfigureerd.

In deze gids lees je wat er is veranderd, welke apparaten hierdoor worden getroffen, hoe je bevestigt dat de update de oorzaak is, en hoe je gebruikers vandaag nog weer verbindt. Ook behandelen we de oplossing die op de lange termijn standhoudt: netwerkauthenticatie verplaatsen van wachtwoorden naar certificaten met EAP-TLS.

Wat er is veranderd in de Windows-update van oktober 2026

Microsoft heeft het NTLMv1-protocol verwijderd uit Windows 11 versie 24H2 en Windows Server 2025. In bepaalde scenario's is nog steeds enige NTLMv1-cryptografie aanwezig, met name: MS-CHAPv2, de interne methode achter PEAP-MSCHAPv2 en EAP-MSCHAPv2, wanneer deze wordt uitgevoerd in een domeingekoppelde omgeving.

Een registerwaarde met de naam BlockNtlmv1SSO bepaalt of Windows toestaat dat die van NTLMv1 afgeleide referenties worden gebruikt voor single sign-on. Een waarde van 0 (Audit mode) staat de aanvraag toe en registreert een waarschuwing. Een waarde van 1 (Enforce mode) blokkeert dit en registreert een fout.

Vanaf de beveiligingsupdate van 13 oktober 2026 behandelt Windows een ontbrekende BlockNtlmv1SSO-waarde als de modus Enforce. De update maakt de registerwaarde niet aan en wijzigt deze ook niet. Wel verandert de update wat Windows doet wanneer de waarde ontbreekt. Daarom werden zoveel device fleets hierdoor verrast, ook al veranderde er niets in Group Policy of Intune.

Alleen het pad voor single sign-on is geblokkeerd. Gebruikers die bij de prompt hun gebruikersnaam en wachtwoord invoeren, kunnen nog steeds verbinding maken.

De uitrol gebeurde in fasen. Auditgebeurtenissen begonnen eind augustus 2025 te verschijnen op Windows 11 24H2 en nieuwer, de uitrol bereikte Windows Server 2025 in november 2025 en Enforce werd in oktober 2026 de standaard. Microsoft voegde op 15 oktober, twee dagen nadat de update was uitgebracht, een opmerking over de wijziging toe aan de releaseopmerkingen van KB5127648, dus beheerders die de opmerkingen op de dag van de release controleerden, vonden die daar niet.

Windows Server 2025 kreeg dezelfde wijziging in KB5126646, die op dezelfde dag werd uitgebracht.

Wie worden getroffen (en wie niet)

Een apparaat wordt getroffen wanneer aan alle vier deze voorwaarden is voldaan:

• Er wordt Windows 11 versie 24H2 of hoger uitgevoerd, of Windows Server 2025, met de update van oktober 2026 geïnstalleerd.

• Credential Guard wordt niet uitgevoerd.

• De registerwaarde BlockNtlmv1SSO is niet ingesteld.

• Het Wi-Fi-, bekabelde of VPN-profiel gebruikt MS-CHAPv2 met Windows-aanmelding via single sign-on, zoals PEAP-MSCHAPv2- en EAP-MSCHAPv2-profielen doorgaans doen.

Apparaten waarop Credential Guard werd uitgevoerd, bevonden zich al vóór oktober in deze positie. Credential Guard blokkeert MS-CHAPv2 single sign-on zelf al, en staat sinds Windows 11 versie 22H2 standaard ingeschakeld voor daarvoor in aanmerking komende apparaten met Enterprise- en Education-licenties en sommige Pro-licenties. De registerwaarde doet niets voor die apparaten. Hoe dan ook, PEAP single sign-on op beheerde Windows-apparaten loopt ten einde.

De blokkering gebeurt op het Windows-apparaat, nog voordat een authenticatiereactie de RADIUS-server bereikt. Daarom laten RADIUS-logboeken tijdens deze storingen vaak niets bruikbaars zien, en daarom herstelt geen enkele serverinstelling single sign-on.

Hoe je kunt bevestigen dat de update de oorzaak is

Controleer voordat je instellingen wijzigt of de update van oktober de verbinding blokkeert. Deze controles duren een paar minuten op een getroffen apparaat:

1. Controleer of de update is geïnstalleerd. Ga naar Settings > Windows Update > Update history en zoek naar KB5127648, of voer winver uit en vergelijk het buildnummer met de tabel hierboven.

2. Open Event Viewer en ga naar Applications and Services Logs > Microsoft > Windows > NTLM > Operational.

3. Zoek naar gebeurtenis-id 4025 (fout) op het moment van de mislukte verbinding. De tekst luidt: "Een poging om van NTLMv1 afgeleide aanmeldingsgegevens te gebruiken voor Single Sign-On is geblokkeerd vanwege het beleid."

4. Controleer het netwerkprofiel. Als het PEAP-MSCHAPv2 gebruikt met "Automatisch mijn Windows-aanmeldingsnaam en wachtwoord gebruiken" geselecteerd, dan heb je de oorzaak gevonden.

Event ID 4024 is ook de moeite waard om te controleren. Het is de waarschuwing voor de auditmodus in hetzelfde logboek, en op apparaten waarop de update van oktober nog niet is geïnstalleerd, markeert deze de machines die kapotgaan zodra die update wel wordt geïnstalleerd. Door 4024- en 4025-gebeurtenissen in je hele omgeving te verzamelen, krijg je een inventaris van elk apparaat en profiel dat nog steeds afhankelijk is van eenmalige aanmelding via PEAP, wat je later in deze handleiding nodig hebt voor de migratie.

De tijdelijke workaround op korte termijn, en waarom die maar tijdelijk is

Er zijn een paar manieren om gebruikers opnieuw verbinding te laten maken terwijl je een blijvende oplossing plant. Elke optie koopt tijd en laat de onderliggende afhankelijkheid intact.

Stel BlockNtlmv1SSO in op 0

Door BlockNtlmv1SSO expliciet op 0 in te stellen, wordt het apparaat teruggezet naar de auditmodus, waardoor PEAP-MSCHAPv2 single sign-on wordt hersteld terwijl de beveiligingsupdate van oktober geïnstalleerd blijft. Opnieuw opstarten is niet vereist.

Op grote schaal kun je de waarde implementeren via een registeritem in Group Policy Preferences of een Intune-herstelscript. Plan een manier om apparaten te bereiken die al niet meer met het netwerk verbonden zijn, zoals via een bekabelde poort, een gastnetwerk of een aanmelding met handmatig ingevoerde referenties, omdat ze pas beleid kunnen ontvangen nadat ze opnieuw verbinding hebben gemaakt. De instelling heeft geen effect op apparaten waarop Credential Guard actief is.

Microsoft beschrijft de auditmodus als iets dat "alleen moet worden beschouwd als een beperkte, tijdelijke beveiligingsuitzondering," omdat het de bescherming vermindert die de afdwingmodus biedt. Beperk dit tot de apparaten die het nodig hebben, stel een einddatum in en houd het bij zoals elk ander openstaand risico.

Laat gebruikers hun inloggegevens invoeren

Gebruikers kunnen het opgeslagen netwerk vergeten en opnieuw verbinding maken door bij de prompt hun gebruikersnaam en wachtwoord in te voeren. Het werkt zonder configuratiewijziging, maar het zorgt voor extra frictie voor elke gebruiker, helpt apparaten die netwerktoegang nodig hebben op het aanmeldscherm niet en houdt wachtwoorden in het netwerkaanmeldpad.

Waarom het verwijderen van de update een slechte optie is

Als je KB5127648 verwijdert, wordt de oude standaardinstelling hersteld, maar daarmee verwijder je ook de beveiligingsupdates van die maand. Latere cumulatieve updates bevatten dezelfde wijziging, waardoor het probleem terugkeert zodra het apparaat de volgende update krijgt. Microsoft documenteert de registerwaarde als het ondersteunde uitzonderingspad.

Waarom MS-CHAPv2 wordt uitgefaseerd, op Windows en daarbuiten

De registerworkaround houdt PEAP-MSCHAPv2 draaiende, maar het protocol dat ermee behouden blijft heeft goed gedocumenteerde zwakke punten, en de druk om het uit te faseren komt uit meer dan één hoek.

De zwakke punten achter de verandering

Microsofts eigen richtlijnen stellen dat Wi‑Fi- en VPN-eindpunten op basis van MS-CHAPv2 kwetsbaar zijn voor aanvallen die vergelijkbaar zijn met die op NTLMv1. De belangrijkste problemen zijn goed bekend:

• Het is afhankelijk van verouderde wachtwoordhashing. De MS-CHAPv2-respons is opgebouwd uit een MD4-hash van het wachtwoord van de gebruiker met hetzelfde op DES gebaseerde challenge-response-ontwerp als NTLMv1. Daarom behandelt Windows dit als een van NTLMv1 afgeleid aanmeldingsgegeven.

• Het werd in 2012 publiekelijk gekraakt. Op DEF CON 20 lieten onderzoekers Moxie Marlinspike en David Hulton zien dat een onderschepte MS-CHAPv2-uitwisseling kan worden teruggebracht tot het kraken van één enkele 56-bits DES-sleutel, met een succespercentage van 100%, ongeacht de sterkte van het wachtwoord.

• De bescherming ervan hangt ervan af dat elke client correct is geconfigureerd. PEAP verpakt MS-CHAPv2 in een TLS-tunnel, maar alleen clients die het RADIUS-servercertificaat valideren, krijgen die bescherming. Een client die validatie overslaat, kan ertoe worden misleid zich te authenticeren bij een evil twin-access point dat de uitwisseling onderschept.

• Het is nog steeds een wachtwoord. Wachtwoorden kunnen worden gehackt via phishing, gedeeld en hergebruikt, en elke reset of vervaldatum kan een apparaat van het netwerk halen totdat de gebruiker zich opnieuw aanmeldt.

Het protocol zelf is de volgende

Microsoft beperkt MS-CHAPv2 aan de clientzijde. De normalisatie-instelling die RADIUS onderhoudt, werkt aan de protocolkant.

Het huidige concept van de IETF RADEXT-werkgroep, "Deprecating Insecure Practices in RADIUS," bevat een sectie waarin MS-CHAP formeel wordt afgekeurd. Hetzelfde concept keurt RADIUS over UDP en TCP buiten beveiligde netwerken af en roept op tot veilige transportprotocollen zoals RadSec (RADIUS over TLS). Het is nog steeds in ontwikkeling, maar het laat zien waar de beveiligingsstandaarden voor RADIUS naartoe gaan. Voor achtergrondinformatie over de transportkant, zie onze vergelijking van RADIUS vs RadSec.

BlockNtlmv1SSO instellen op 0 pakt geen van beide trends aan. Afstappen van MS-CHAPv2 pakt beide aan.

De permanente oplossing: zet Windows-apparaten over naar EAP-TLS

Microsoft raadt aan om Wi-Fi- en VPN-verbindingen over te zetten van MS-CHAPv2 naar certificaatgebaseerde authenticatie, zoals EAP-TLS of PEAP-TLS. Voor de meeste organisaties is EAP-TLS de meest directe route.

Waarom EAP-TLS niet wordt beïnvloed

EAP-TLS authenticeert het apparaat of de gebruiker met een certificaat en privésleutel. Er komt geen wachtwoord aan te pas en Windows heeft geen opgeslagen aanmeldingsgegevens nodig, dus de wijziging van BlockNtlmv1SSO is nooit van toepassing. Credential Guard blokkeert authenticatie op basis van certificaten ook niet.

De overstap lost ook problemen op die PEAP-MSCHAPv2 altijd al heeft gehad:

• Er is geen wachtwoord dat kan worden gefisht, offline gekraakt of onderschept met een kwaadwillend twin access point.

• Met een apparaatcertificaat kan een laptop verbinding maken bij het inlogscherm, voordat iemand zich aanmeldt.

• Wachtwoordresets en -verlopen zorgen er niet langer voor dat apparaten de verbinding met wifi verliezen.

• Dezelfde aanpak op basis van certificaten werkt voor wifi, bekabelde 802.1X en VPN.

Hoe migreer je zonder downtime

PEAP en EAP-TLS kunnen tijdens de overgang naast elkaar werken, zodat apparaten in groepen kunnen overstappen in plaats van allemaal tegelijk. Deze stappen werken met elke identiteitsprovider en elk MDM-platform:

1. Stel een inventaris op. Gebruik gebeurtenis 4024 en 4025 om getroffen apparaten en de netwerkprofielen die ze gebruiken in kaart te brengen. Scheid door het bedrijf beheerde apparaten van persoonlijke en onbeheerde apparaten, omdat ze certificaten op een verschillende manier ontvangen.

2. Bepaal hoe certificaten worden uitgegeven. Een on-premises certificaatautoriteit zoals Active Directory Certificate Services is een van de opties. Met een in de cloud gehoste certificaatautoriteit hoef je die infrastructuur niet zelf te beheren.

3. Lever certificaten af aan beheerde apparaten. Gebruik het SCEP-certificaatprofiel van je MDM, of dat nu Microsoft Intune, Jamf, Workspace ONE, Kandji of Google Admin voor Chromebooks is.

4. Geef onbeheerde apparaten en BYOD-apparaten een selfservicepad. Met een registratieproces dat het certificaat en het netwerkprofiel installeert, kunnen gebruikers hun eigen apparaten onboarden zonder een IT-ticket.

5. Configureer je RADIUS-server zo dat deze naast PEAP ook EAP-TLS accepteert tijdens de overgang.

6. Push een EAP-TLS-netwerkprofiel. Configureer het zo dat het het RADIUS-servercertificaat valideert op basis van de vertrouwde root en servernaam.

7. Begin met een pilot bij één team of locatie. Controleer of apparaten verbinding maken op het inlogscherm en verbonden blijven nadat een wachtwoord is gewijzigd.

8. Gefaseerd uitrollen per afdeling, locatie of apparaatgroep.

9. Schaf PEAP af. Verwijder het oude profiel van apparaten, verwijder eventuele BlockNtlmv1SSO-uitzonderingen en schakel MS-CHAPv2 uit op de RADIUS-server.

Macs, telefoons en Chromebooks worden niet beïnvloed door de update van oktober, maar als je doel is om PEAP volledig uit het netwerk te verwijderen, hebben ze ook certificaten nodig. Onze handleiding voor certificaatgebaseerde wifi voor beheerde Chromebooks behandelt de ChromeOS-kant.

Hoe Foxpass je helpt af te stappen van PEAP-MSCHAPv2

Foxpass, van Splashtop, biedt cloudgehoste RADIUS-authenticatie voor Wi-Fi, VPN en bekabelde netwerken, samen met een cloud-PKI voor het uitgeven van apparaat- en gebruikerscertificaten. Samen dekken Foxpass Cloud RADIUS en Foxpass Cloud PKI elke fase van de bovenstaande migratie, zonder on-premises servers die je moet bouwen of onderhouden.

• Certificaatuitgifte zonder on-premises infrastructuur: Foxpass Cloud PKI fungeert als je certificaatautoriteit, en Foxpass Cloud RADIUS valideert het certificaat bij elke verbindingspoging.

• Certificaatlevering via de MDM die je al gebruikt: Beheerde apparaten ontvangen certificaten via het Foxpass SCEP-eindpunt van Microsoft Intune, Jamf, Kandji, Addigy, Workspace ONE, Mosyle, NinjaOne en Google Admin voor Chromebooks. Teams die Windows-endpoints beheren met Splashtop AEM kunnen certificaten ook via Splashtop AEM leveren.

• Toegang gekoppeld aan de identiteitsprovider die je al gebruikt: Foxpass synchroniseert gebruikers en groepen uit Microsoft Entra ID, Google Workspace, Okta en OneLogin, zodat netwerktoegang dezelfde directory volgt als al het andere. We gaan dieper in op de Okta- en Google Workspace-kant in certificaatgebaseerde authenticatie voor Okta en Google Workspace.

• Een selfservicepad voor BYOD en onbeheerde apparaten: Met de Foxpass BYOD Certificate Installer kunnen gebruikers zelf Mac-, Windows-, iOS-, Android- en Chromebook-apparaten registreren.

• Toegang die eindigt wanneer iemand vertrekt: Omdat een certificaat het e-mailadres of de apparaat-ID van de gebruiker kan bevatten, kan Foxpass op het moment van verbinden bevestigen dat de gebruiker of het apparaat nog steeds actief is in je directory.

• Een gefaseerde overgang: Foxpass Cloud RADIUS ondersteunt EAP-TLS en EAP-TTLS naast elkaar, zodat je apparaten in fases naar certificaten kunt overzetten.

• Versleuteld RADIUS-verkeer: Foxpass ondersteunt RadSec, dat verificatieverkeer tussen je access points en de RADIUS-server beschermt met TLS.

Lees meer over wachtwoordloze Wi-Fi- en VPN-toegang met Foxpass.

Neem definitief afscheid van PEAP met op certificaten gebaseerde wifi

Met de instelling BlockNtlmv1SSO kunnen Windows 11-gebruikers vandaag weer online komen, maar je netwerkaanmelding blijft daarmee gekoppeld aan een protocol waarvan Microsoft aanbeveelt ervan weg te stappen, en de IETF werkt eraan om het op protocolniveau af te schaffen. Certificaatgebaseerde authenticatie neemt die afhankelijkheid weg, zodat toekomstige hardening van Windows niet verandert in een nieuwe golf Wi‑Fi-tickets.

Met Foxpass Cloud RADIUS en Foxpass Cloud PKI kun je die overstap maken met de identity provider en MDM die je al gebruikt. Start een gratis proefperiode of plan een demo om te zien hoe Foxpass in jouw omgeving past.