Windows 11 Credential Guard: Devre Dışı Bırakırken Kilitlere Dikkat

Windows 11’in güvenlik katmanlarından biri olan Credential Guard, kimlik bilgilerini sanallaştırma tabanlı güvenlik (VBS) ile izole ederek gelişmiş koruma sağlar. Ancak bazı durumlarda, özellikle belirli VPN, Wi-Fi veya sanal makine yazılımlarıyla çakışmalar yaşandığında, kullanıcılar bu özelliği devre dışı bırakma ihtiyacı hissedebilir. Windows 11 Credential Guard devre dışı bırakma işlemi, özelliğin nasıl etkinleştirildiğine bağlı olarak farklı yöntemler gerektirir ve bu süreçte dikkat edilmesi gereken önemli güvenlik ayrıntıları bulunur. Doğru adımları izlemek, sistem bütünlüğünü korurken uyumluluk sorunlarını çözmenin anahtarıdır.

Credential Guard Nedir ve Neden Önemli?

Credential Guard, Windows’ta gelişmiş bir güvenlik özelliğidir. Sanallaştırma Tabanlı Güvenlik (VBS) teknolojisini kullanarak, işletim sistemindeki yerel güvenlik yetkilisi (LSA) kimlik bilgilerini donanımsal olarak izole eder. Bu izolasyon, zararlı yazılımların ve gelişmiş kalıcı tehditlerin (APT) kimlik bilgilerini çalmasını zorlaştırır. Özellikle Pass-the-Hash gibi saldırı türlerine karşı önemli bir savunma katmanı sunar.

Özelliğin getirdiği yüksek güvenlik, bazı eski veya uyumsuz yazılımlarla çakışmalara yol açabilir. Kullanıcılar genellikle VPN istemcileri, Wi-Fi bağlantı yazılımları, Uzak Masaüstü (Remote Desktop) istemcileri veya sanal makine uygulamaları gibi kritik araçlarda sorunlar yaşadığında Credential Guard’ı devre dışı bırakma yolunu ararlar. Bu, genellikle geçici bir çözüm olarak görülse de, güvenlik risklerini beraberinde getirir.

Credential Guard’ı devre dışı bırakmak, depolanan etki alanı kimlik bilgilerini hırsızlığa karşı savunmasız bırakır. Bu nedenle, bir iş veya okul bilgisayarında devre dışı bırakmadan önce mutlaka yöneticinize danışmak ve kişisel bilgisayarlarda ise sadece uyumluluk sorununu gidermek için ve geçici olarak bu yola başvurmak önemlidir. Sertifika tabanlı oturum açma yöntemleri, bu tür uyumluluk sorunları için daha güvenli bir alternatif sunar.

Kullanıcılar bazen Credential Guard’ı kapattıklarını düşünseler de, sistem yeniden başlatıldığında özelliğin tekrar aktif olduğunu görebilirler. Bunun başlıca nedenleri arasında Grup İlkesi veya Intune ayarlarının özelliği her yeniden başlatmada yeniden etkinleştirmesi, UEFI kilidinin ayarı bellenimde tutması veya politikanın “Devre Dışı” yerine “Yapılandırılmadı” olarak ayarlanması yer alır.

Credential Guard’ın Çalışma Biçimi ve Durum Tespiti

Credential Guard, Windows işletim sisteminin çekirdeğinde çalışan kritik bir güvenlik bileşenidir. LSA sırlarını, donanım sanallaştırma teknolojisi ve Hyper-V tarafından korunan ayrı bir bellek alanına taşıyarak çalışır. Böylece, LSA’ya yönelik bir saldırı olsa bile, hassas kimlik bilgileri bu izole edilmiş ortamda güvende kalır. Bu mekanizma, özellikle ağ ortamlarında sıklıkla karşılaşılan yanlamasına hareket (lateral movement) saldırılarına karşı kalkan görevi görür.

Credential Guard’ın bilgisayarınızda çalışıp çalışmadığını anlamak oldukça basittir. Bunun için “Sistem Bilgileri” uygulamasını kullanabilirsiniz. Çalıştır kutusuna msinfo32 yazıp Enter’a basarak Sistem Bilgileri penceresini açın. Burada, “Sanallaştırma Tabanlı Güvenlik Çalışıyor” veya “Credential Guard” başlığı altında ilgili durumu görebilirsiniz. Eğer bu özellik çalışıyorsa, devredışı bırakma adımlarına geçmeden önce hangi yöntemle etkinleştirildiğini anlamak, doğru yolu seçmek açısından kritiktir.

Credential Guard, farklı yollarla etkinleştirilebilir. Kurumsal ortamlarda genellikle Intune veya Mobil Cihaz Yönetimi (MDM) çözümleriyle merkezi olarak dağıtılır. Bireysel veya küçük ölçekli sistemlerde ise Grup İlkesi Düzenleyicisi veya doğrudan Windows Kayıt Defteri üzerinden yapılandırılır. En kalıcı ve zorlayıcı etkinleştirme biçimi ise UEFI (Birleşik Genişletilebilir Bellenim Arabirimi) kilidi ile gerçekleşir. Bu kilit, ayarları doğrudan donanım bellenimine yazar ve yazılımsal değişikliklerle kolayca geri alınamaz. Windows 11 22H2 sürümü itibarıyla, Credential Guard’ın uyumlu sistemlerde varsayılan olarak etkinleştirildiği görülmektedir. Windows 10 için de aynı durum geçerli olup, Windows 10 22H2 sürümünün 14 Ekim 2025’te destek dışı kalacağı dikkate alınarak yükseltme planlanması önerilir.

Credential Guard’ın Sistem ve Uygulama Etkileşimleri

Credential Guard, güvenlik seviyesini artırmak amacıyla bazı eski ve daha az güvenli oturum açma yöntemlerini kısıtlar veya tamamen engeller. Tek oturum açma (Single Sign-On) mekanizması, NTLMv1, MS-CHAP ve WDigest gibi protokoller için bloke edilir. Ayrıca, Kerberos sınırsız delegasyon (unconstrained delegation) yeteneği tamamen engellenir. Bu, özellikle eski kurumsal ağlarda veya belirli ağ cihazlarıyla entegrasyonlarda sorunlara yol açabilir.

Kaydedilmiş kimlik bilgilerini kullanan CredSSP (Credential Security Support Provider) protokolü de Credential Guard tarafından kısıtlanır. Bu durum, özellikle Uzak Masaüstü bağlantılarında “Oturum açma girişimi başarısız oldu” gibi hata mesajlarına neden olabilir. Kullanıcılar, bu tür durumlarda Uzak Masaüstü oturumlarına erişmekte zorluk yaşayabilir veya farklı kimlik doğrulama yöntemlerine başvurmak zorunda kalabilirler.

Credential Guard, belirli yazılımlarla da uyumsuzluk gösterebilir. Örneğin, VMware Workstation gibi sanallaştırma platformları veya bazı eski güvenlik ürünleri, Credential Guard etkin durumdayken beklenen şekilde çalışmayabilir. Bu tür uyumsuzluklar, kullanıcıların günlük iş akışlarını önemli ölçüde aksatabilir ve geçici bir çözüm olarak Credential Guard’ın devre dışı bırakılmasını düşündürebilir. Burada, en temiz çözümün sertifika tabanlı oturum açma mekanizmalarına geçmek olduğu bize göre önem taşır. Ancak hızlı bir çözüm arayanlar için özelliği geçici olarak kapatmak bir seçenek olabilir.

Credential Guard’ı Güvenli Bir Şekilde Devre Dışı Bırakma Yolları

Credential Guard’ı devre dışı bırakmak, özelliğin başlangıçta nasıl etkinleştirildiğine bağlı olarak farklı yöntemler gerektirir. Devre dışı bırakma işlemine başlamadan önce mutlaka bir sistem geri yükleme noktası oluşturmanız veya önemli verilerinizi yedeklemeniz tavsiye edilir.

Yöntem 1: UEFI Kilidi Olmadan Etkinleştirilen Sistemler İçin (Grup İlkesi veya Kayıt Defteri)

Eğer Credential Guard bir UEFI kilidi olmadan, yani Grup İlkesi veya Kayıt Defteri üzerinden etkinleştirilmişse, aşağıdaki adımları izleyebilirsiniz:

Grup İlkesi Düzenleyicisi Üzerinden:

1. Win + R tuşlarına basarak Çalıştır iletişim kutusunu açın.
2. gpedit.msc yazıp Enter’a basarak Yerel Grup İlkesi Düzenleyicisi’ni açın.
3. Sol panelde şu yolu takip edin: Bilgisayar Yapılandırması > Yönetim Şablonları > Sistem > Aygıt Koruması.
4. Sağ panelde Sanallaştırma Tabanlı Güvenliği Aç (Turn On Virtualization Based Security) ilkesini bulun ve çift tıklayın.
5. Açılan pencerede Devre Dışı (Disabled) seçeneğini işaretleyin.
6. Değişiklikleri kaydetmek için Uygula ve Tamam düğmelerine tıklayın.
7. Bilgisayarınızı yeniden başlatın.

Kayıt Defteri Düzenleyicisi Üzerinden:

Bu yöntem, Grup İlkesi Düzenleyicisi’ne erişimi olmayan (örneğin, Windows Home sürümleri) kullanıcılar için uygundur.

1. Win + R tuşlarına basarak Çalıştır iletişim kutusunu açın.
2. regedit yazıp Enter’a basarak Kayıt Defteri Düzenleyicisi’ni açın.
3. Şu kayıt defteri anahtarına gidin: HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlLsa
4. Sağ panelde LsaCfgFlags değerini bulun ve üzerine çift tıklayın. Eğer yoksa, yeni bir DWORD (32-bit) Değeri oluşturup adını LsaCfgFlags olarak belirleyin.
5. Değer verisini 0 olarak ayarlayın. Bu, Credential Guard’ı devre dışı bırakır.
6. Ayrıca, şu yola da giderek benzer bir değişiklik yapmanız gerekebilir: HKEY_LOCAL_MACHINESOFTWAREPoliciesMicrosoftWindowsDeviceGuard
7. Burada EnableVirtualizationBasedSecurity adında bir DWORD (32-bit) Değeri varsa, değer verisini 0 olarak ayarlayın. Eğer yoksa, oluşturmaya gerek yoktur.
8. Kayıt Defteri Düzenleyicisi’ni kapatın ve bilgisayarınızı yeniden başlatın.

Yöntem 2: UEFI Kilidi ile Etkinleştirilen Sistemler İçin

Eğer Credential Guard bir UEFI kilidi ile etkinleştirilmişse, bu yöntem daha ileri düzeydedir ve dikkatli uygulanmalıdır. Bu işlem, bellenimdeki bir ayarı silmeyi gerektirir.

1. Bilgisayarınızı UEFI veya BIOS kurulum ekranına önyükleyin. Bu genellikle bilgisayar açılırken F2, Del, F10 veya F12 gibi tuşlara basılarak yapılır.
2. UEFI ortamında, SecConfig.efi adlı bir prosedür veya seçenek arayın. Bu genellikle “Boot Options” (Önyükleme Seçenekleri) veya “Security” (Güvenlik) bölümünde bulunabilir.
3. SecConfig.efi uygulamasını çalıştırın ve efi değişkeni olan SecConfig’i silme işlemini onaylayın. Bu adım, Credential Guard’ı etkinleştiren bellenim kilidini kaldıracaktır.
4. İşlem tamamlandıktan sonra bilgisayarınızı yeniden başlatın.

Bu yöntem, yanlış uygulandığında sistem kararsızlıklarına yol açabileceğinden, yalnızca deneyimli kullanıcılar tarafından ve gerektiğinde başvurulmalıdır.

Güvenlik Dengesi ve Alternatif Yaklaşımlar

Credential Guard gibi özelliklerin devre dışı bırakılması, her ne kadar anlık uyumluluk sorunlarına pratik bir çözüm sunsa da, uzun vadede ciddi güvenlik zafiyetleri yaratabilir. Sanallaştırma tabanlı güvenlik mekanizmaları, modern siber tehditlere karşı kritik bir savunma hattı oluşturur ve bu hattı bypass etmek, sisteminizi potansiyel saldırılara açık hale getirir. Pratik tarafta bakıldığında, Microsoft’un bu tür güvenlik özelliklerini varsayılan olarak etkinleştirmesi, genel kullanıcı güvenliğini artırma yönündeki kararlı duruşunu yansıtır.

Kullanıcıların uyumluluk sorunlarını aşmak için devre dışı bırakma yoluna gitmeleri yerine, öncelikle yazılım üreticilerinin güncellemelerini kontrol etmeleri veya alternatif, Credential Guard ile uyumlu çözümler aramaları daha doğru bir yaklaşım olacaktır. Özellikle sertifika tabanlı oturum açma yöntemleri, birçok kimlik doğrulama problemini çözebilen ve aynı zamanda yüksek güvenlik standartlarını koruyan etkili bir alternatiftir. Bir yönetici tarafından yönetilen bir ağdaki cihazlar için, bu tür değişiklikler her zaman IT departmanının onayıyla yapılmalıdır. Ev kullanıcıları için ise, devre dışı bırakma işlemini geçici tutmak ve mümkün olan en kısa sürede sorunu giderecek başka bir yönteme yönelmek akıllıca olacaktır. Gelecekte, işletim sistemlerinin güvenlik mimarileri geliştikçe, bu tür uyumluluk sorunlarının azalması ve güvenlik ile kullanılabilirlik arasındaki dengenin daha iyi kurulması beklenmektedir.