Why PEAP-MSCHAPv2 fails on Windows 11 and how to fix it

Se dopo gli aggiornamenti di metà ottobre i computer Windows 11 hanno smesso di connettersi al Wi-Fi aziendale, oppure gli utenti hanno improvvisamente iniziato a vedere richieste di credenziali che prima non comparivano, non sei il solo. Dopo l'aggiornamento di sicurezza di Windows del 13 ottobre 2026, molti dispositivi aggiunti a un dominio che usano PEAP-MSCHAPv2 con l'accesso a Windows non riescono più ad accedere automaticamente al Wi-Fi, alla rete cablata 802.1X o alla VPN.

Si tratta di un rafforzamento pianificato da Microsoft. Microsoft ha annunciato la modifica ad agosto 2025 come parte del suo impegno per dismettere NTLM e l'aggiornamento di ottobre l'ha attivata per impostazione predefinita sui dispositivi che non erano stati configurati in un senso o nell'altro.

Questa guida spiega cosa è cambiato, quali dispositivi sono interessati, come confermare che la causa sia l'aggiornamento e come ricollegare oggi stesso gli utenti. Include anche la soluzione che regge nel lungo periodo: spostare l'autenticazione di rete dalle password ai certificati con EAP-TLS.

Cosa è cambiato con l’aggiornamento di Windows di ottobre 2026

Microsoft ha rimosso il protocollo NTLMv1 da Windows 11 versione 24H2 e Windows Server 2025. Una parte della crittografia NTLMv1 rimane comunque ancora presente in alcuni scenari, in particolare: MS-CHAPv2, il metodo interno alla base di PEAP-MSCHAPv2 ed EAP-MSCHAPv2, quando viene eseguito in un ambiente con dispositivi aggiunti a un dominio.

Un valore del registro chiamato BlockNtlmv1SSO controlla se Windows consente che quelle credenziali derivate da NTLMv1 vengano usate per il single sign-on. Un valore pari a 0 (modalità Audit) consente la richiesta e registra un avviso. Un valore pari a 1 (modalità Enforce) la blocca e registra un errore.

A partire dall'aggiornamento di sicurezza del 13 ottobre 2026, Windows considera un valore BlockNtlmv1SSO mancante come modalità Enforce. L'aggiornamento non crea né modifica il valore del registro. Modifica il comportamento di Windows quando il valore non è presente, motivo per cui così tanti parchi dispositivi sono stati colti di sorpresa anche se non è cambiato nulla né in Group Policy né in Intune.

È bloccato solo il percorso single sign-on. Gli utenti che inseriscono nome utente e password nella richiesta possono comunque connettersi.

Il rollout è avvenuto in più fasi. Gli eventi di audit hanno iniziato ad apparire su Windows 11 24H2 e versioni successive a fine agosto 2025, il rollout ha raggiunto Windows Server 2025 a novembre 2025 e Enforce è diventato l'impostazione predefinita a ottobre 2026. Microsoft ha aggiunto una nota sulla modifica alle note di rilascio di KB5127648 il 15 ottobre, due giorni dopo il rilascio dell'aggiornamento, quindi gli amministratori che hanno controllato le note il giorno del rilascio non l'hanno trovata lì.

Windows Server 2025 ha ricevuto la stessa modifica in KB5126646, rilasciato lo stesso giorno.

Chi è interessato (e chi no)

Un dispositivo è interessato quando si verificano tutte e quattro queste condizioni:

• Esegue Windows 11 versione 24H2 o successiva, oppure Windows Server 2025, con l'aggiornamento di ottobre 2026 installato.

• Credential Guard non è in esecuzione.

• Il valore del registro BlockNtlmv1SSO non è stato impostato.

• Il suo profilo Wi-Fi, cablato o VPN utilizza MS-CHAPv2 con il single sign-on all'accesso di Windows, come tipicamente fanno i profili PEAP-MSCHAPv2 ed EAP-MSCHAPv2.

I dispositivi con Credential Guard in esecuzione si trovavano già in questa situazione prima di ottobre. Credential Guard blocca da solo il single sign-on MS-CHAPv2, ed è attivo per impostazione predefinita da Windows 11 versione 22H2 per i dispositivi idonei con licenze Enterprise ed Education e alcune licenze Pro. Il valore del registro non fa nulla per questi dispositivi. In ogni caso, il single sign-on PEAP sui dispositivi Windows gestiti sta per terminare.

Il blocco avviene sul dispositivo Windows, prima ancora che una risposta di autenticazione raggiunga il server RADIUS. Ecco perché i log RADIUS spesso non mostrano nulla di utile durante questi errori e perché nessuna impostazione lato server ripristina il single sign-on.

Come confermare che l'aggiornamento è la causa

Prima di modificare qualsiasi impostazione, conferma che sia l'aggiornamento di ottobre a bloccare la connessione. Questi controlli richiedono pochi minuti su un dispositivo interessato:

1. Verifica se l'aggiornamento è installato. Vai a Settings > Windows Update > Cronologia aggiornamenti e cerca KB5127648, oppure esegui winver e confronta il numero di build con la tabella sopra.

2. Apri Visualizzatore eventi e vai a Applications and Services Logs > Microsoft > Windows > NTLM > Operational.

3. Cerca l'ID evento 4025 (Errore) nel momento in cui si è verificata la connessione non riuscita. Il suo testo recita: "Un tentativo di utilizzare credenziali derivate da NTLMv1 per il single sign-on è stato bloccato a causa dei criteri."

4. Controlla il profilo di rete. Se utilizza PEAP-MSCHAPv2 con "Usa automaticamente il mio nome di accesso e la password di Windows" selezionato, hai trovato la causa.

Vale la pena controllare anche l'ID evento 4024. È l'avviso della modalità Audit nello stesso registro e, sui dispositivi che non hanno ancora installato l'aggiornamento di ottobre, contrassegna le macchine che smetteranno di funzionare quando lo faranno. La raccolta degli eventi 4024 e 4025 in tutto il tuo parco dispositivi ti fornisce un inventario di ogni dispositivo e profilo che dipende ancora dal PEAP single sign-on, di cui avrai bisogno per la migrazione più avanti in questa guida.

La soluzione alternativa a breve termine e perché è solo temporanea

Esistono alcuni modi per far ricollegare gli utenti mentre pianifichi una soluzione duratura. Ognuno fa guadagnare tempo e lascia invariata la dipendenza sottostante.

Imposta BlockNtlmv1SSO su 0

L'impostazione di BlockNtlmv1SSO su 0 riporta esplicitamente il dispositivo in modalità Audit, ripristinando il single sign-on PEAP-MSCHAPv2 e mantenendo installato l'aggiornamento di sicurezza di ottobre. Non è richiesto alcun riavvio.

Su larga scala, distribuisci il valore tramite un elemento del registro di Group Policy Preferences o uno script di correzione di Intune. Pianifica un modo per raggiungere i dispositivi già fuori dalla rete, come una porta cablata, una rete guest o un accesso con credenziali digitate, poiché non possono ricevere i criteri finché non si riconnettono. L'impostazione non ha alcun effetto sui dispositivi su cui è in esecuzione Credential Guard.

Microsoft descrive la modalità Audit come qualcosa che "dovrebbe essere considerato solo come un'eccezione di sicurezza temporanea e circoscritta," perché riduce la protezione fornita dalla modalità Enforce. Limitane l'uso ai dispositivi che ne hanno bisogno, imposta una data di fine e monitorala come qualsiasi altro rischio aperto.

Fai digitare agli utenti le proprie credenziali

Gli utenti possono dimenticare la rete salvata e riconnettersi inserendo il proprio nome utente e la password quando richiesto. Funziona senza alcuna modifica alla configurazione, ma aggiunge attrito per ogni utente, non aiuta i dispositivi che necessitano di accesso alla rete nella schermata di accesso e mantiene le password nel flusso di accesso alla rete.

Perché disinstallare l'aggiornamento è una scelta poco indicata

La disinstallazione di KB5127648 ripristina la vecchia impostazione predefinita, ma rimuove anche le correzioni di sicurezza del mese. Gli aggiornamenti cumulativi successivi includono la stessa modifica, quindi il problema si ripresenta la volta successiva in cui il dispositivo si aggiorna. Microsoft documenta il valore del registro come percorso di eccezione supportato.

Perché MS-CHAPv2 sta per essere ritirato, in Windows e non solo

La soluzione alternativa del registro mantiene PEAP-MSCHAPv2 in funzione, ma il protocollo che preserva presenta debolezze ben documentate e la pressione per dismetterlo arriva da più direzioni.

Le debolezze alla base del cambiamento

Le indicazioni fornite da Microsoft affermano che gli endpoint Wi‑Fi e VPN basati su MS-CHAPv2 sono soggetti ad attacchi simili a quelli contro NTLMv1. I principali problemi sono ben noti:

• Si basa su un hashing delle password legacy. La risposta MS-CHAPv2 viene costruita a partire da un hash MD4 della password dell'utente utilizzando lo stesso meccanismo challenge-response basato su DES di NTLMv1, motivo per cui Windows la tratta come una credenziale derivata da NTLMv1.

• È stato compromesso pubblicamente nel 2012. Al DEF CON 20, i ricercatori Moxie Marlinspike e David Hulton hanno dimostrato che uno scambio MS-CHAPv2 intercettato può essere ridotto alla violazione di una singola chiave DES a 56 bit, con un tasso di successo del 100% indipendentemente dalla robustezza della password.

• La sua protezione dipende dal fatto che ogni client sia configurato correttamente. PEAP incapsula MS-CHAPv2 in un tunnel TLS, ma solo i client che convalidano il certificato del server RADIUS ottengono tale protezione. Un client che salta la convalida può essere indotto con l'inganno ad autenticarsi a un access point evil twin che cattura lo scambio.

• È sempre una password. Le password possono essere oggetto di phishing, condivise e riutilizzate, e ogni reimpostazione o scadenza può disconnettere un dispositivo dalla rete finché l'utente non effettua di nuovo l'accesso.

Il protocollo stesso viene dopo

Microsoft sta limitando MS-CHAPv2 lato client. L'organismo di standardizzazione che gestisce RADIUS sta lavorando sul lato protocollo.

L'attuale bozza del gruppo di lavoro IETF RADEXT, "Deprecating Insecure Practices in RADIUS," include una sezione che depreca formalmente MS-CHAP. La stessa bozza depreca RADIUS su UDP e TCP al di fuori delle reti sicure e richiede trasporti sicuri come RadSec (RADIUS su TLS). È ancora un lavoro in corso, ma mostra verso dove si stanno dirigendo gli standard di sicurezza RADIUS. Per approfondire il lato del trasporto, consulta il nostro confronto tra RADIUS e RadSec.

Impostare BlockNtlmv1SSO su 0 non affronta nessuna delle due tendenze. Abbandonare MS-CHAPv2 le affronta entrambe.

La soluzione definitiva: spostare i dispositivi Windows su EAP-TLS

Microsoft consiglia di passare le connessioni Wi-Fi e VPN da MS-CHAPv2 all'autenticazione basata su certificati, come EAP-TLS o PEAP-TLS. Per la maggior parte delle organizzazioni, EAP-TLS è il percorso più diretto.

Perché EAP-TLS non è interessato

EAP-TLS autentica il dispositivo o l'utente con un certificato e una chiave privata. Non è coinvolta alcuna password e Windows non ha bisogno di una credenziale di accesso salvata, quindi la modifica di BlockNtlmv1SSO non si applica mai. Nemmeno Credential Guard blocca l'autenticazione basata su certificato.

Questo cambiamento risolve anche problemi che PEAP-MSCHAPv2 ha sempre avuto:

• Non c'è alcuna password da rubare con il phishing, decifrare offline o intercettare con un punto di accesso evil twin.

• Un certificato del dispositivo consente a un laptop di connettersi alla schermata di accesso, prima che qualcuno effettui l'accesso.

• La reimpostazione e la scadenza delle password non disconnettono più i dispositivi dal Wi‑Fi.

• Lo stesso approccio basato su certificato funziona per Wi-Fi, 802.1X cablato e VPN.

Come eseguire la migrazione senza tempi di inattività

PEAP ed EAP-TLS possono funzionare in parallelo durante la transizione, così i dispositivi possono essere spostati in gruppi invece che tutti in una volta sola. Questi passaggi funzionano con qualsiasi provider di identità e qualsiasi piattaforma MDM:

1. Crea un inventario. Usa gli eventi 4024 e 4025 per elencare i dispositivi interessati e i profili di rete che utilizzano. Separa i dispositivi gestiti dall'azienda da quelli personali e non gestiti, poiché riceveranno i certificati in modo diverso.

2. Decidi come verranno emessi i certificati. Un'autorità di certificazione on-premises come Active Directory Certificate Services è una delle opzioni. Un'autorità di certificazione ospitata nel cloud elimina la necessità di gestire direttamente quell'infrastruttura.

3. Distribuisci i certificati ai dispositivi gestiti. Usa il profilo certificato SCEP del tuo MDM, che si tratti di Microsoft Intune, Jamf, Workspace ONE, Kandji o Google Admin per i Chromebook.

4. Offri ai dispositivi non gestiti e BYOD un percorso self-service. Un flusso di registrazione che installa il certificato e il profilo di rete consente agli utenti di configurare autonomamente i propri dispositivi senza aprire un ticket IT.

5. Configura il tuo server RADIUS per accettare EAP-TLS insieme a PEAP durante la transizione.

6. Distribuisci un profilo di rete EAP-TLS. Configuralo in modo che convalidi il certificato del server RADIUS tramite la root attendibile e il nome del server.

7. Avvia un progetto pilota con un team o una sede. Conferma che i dispositivi si connettano alla schermata di accesso e rimangano connessi dopo una modifica della password.

8. Distribuisci a ondate per reparto, sede o gruppo di dispositivi.

9. Abbandona PEAP. Rimuovi il vecchio profilo dai dispositivi, elimina eventuali eccezioni BlockNtlmv1SSO e disattiva MS-CHAPv2 sul server RADIUS.

I Mac, i telefoni e i Chromebook non sono interessati dall'aggiornamento di ottobre, ma se il tuo obiettivo è eliminare completamente PEAP dalla rete, anche loro avranno bisogno di certificati. La nostra guida al Wi-Fi basato su certificati per Chromebook gestiti copre il lato ChromeOS.

Come Foxpass ti aiuta ad abbandonare PEAP-MSCHAPv2

Foxpass, di Splashtop, fornisce l'autenticazione RADIUS ospitata nel cloud per reti Wi-Fi, VPN e cablate, insieme a un PKI cloud per emettere certificati di dispositivi e utenti. Insieme, Foxpass Cloud RADIUS e Foxpass Cloud PKI coprono ogni fase della migrazione sopra descritta senza server on-premises da configurare o mantenere.

• Emissione di certificati senza infrastruttura on-premises: Foxpass Cloud PKI funge da autorità di certificazione e Foxpass Cloud RADIUS convalida il certificato a ogni tentativo di connessione.

• Consegna dei certificati tramite l'MDM che usi già: I dispositivi gestiti ricevono i certificati tramite il Foxpass SCEP endpoint da Microsoft Intune, Jamf, Kandji, Addigy, Workspace ONE, Mosyle, NinjaOne e Google Admin per Chromebooks. I team che gestiscono endpoint Windows con Splashtop AEM possono distribuire i certificati anche tramite Splashtop AEM.

• Accesso collegato al provider di identità che già utilizzi: Foxpass sincronizza utenti e gruppi da Microsoft Entra ID, Google Workspace, Okta e OneLogin, così l'accesso alla rete segue la stessa directory di tutto il resto. Approfondiamo il lato Okta e Google Workspace in autenticazione basata su certificati per Okta e Google Workspace.

• Un percorso self-service per BYOD e dispositivi non gestiti: Foxpass BYOD Certificate Installer consente agli utenti di registrare autonomamente dispositivi Mac, Windows, iOS, Android e Chromebook.

• Accesso che termina quando qualcuno se ne va: Poiché un certificato può contenere l'indirizzo email dell'utente o l'ID del dispositivo, Foxpass può confermare al momento della connessione che l'utente o il dispositivo sia ancora attivo nella tua directory.

• Una migrazione graduale: Foxpass Cloud RADIUS supporta EAP-TLS ed EAP-TTLS in parallelo, così puoi spostare i dispositivi ai certificati per fasi.

• Traffico RADIUS crittografato: Foxpass supporta RadSec, che protegge il traffico di autenticazione tra i tuoi punti di accesso e il server RADIUS con TLS.

Scopri di più su Wi-Fi senza password e accesso VPN con Foxpass.

Abbandona definitivamente PEAP con il Wi-Fi basato su certificati

L'impostazione BlockNtlmv1SSO può consentire oggi agli utenti Windows 11 di tornare online, ma continua a mantenere l'accesso alla rete legato a un protocollo da cui Microsoft consiglia di allontanarsi e che la IETF si sta muovendo per deprecare a livello di protocollo. L'autenticazione basata su certificato elimina questa dipendenza, così il futuro rafforzamento di Windows non si trasformerà in un'altra ondata di ticket Wi-Fi.

Foxpass Cloud RADIUS e Foxpass Cloud PKI ti consentono di effettuare questo passaggio con il provider di identità e l'MDM che già utilizzi. Inizia una prova gratuita o prenota una demo per vedere come Foxpass si adatta al tuo ambiente.