Windows Güncellemesi Sonrası WPA2 Enterprise Bağlantı Kesintisi

Windows işletim sistemlerinde yapılan son güncellemelerin ardından kurumsal ağlarda WPA2 Enterprise bağlantı sorunu yaşanması, birçok kullanıcı ve IT yöneticisini beklenmedik bir durumla karşı karşıya bıraktı. Özellikle 802.1X PEAP tabanlı Wi-Fi ağlarına erişimde yaşanan kimlik doğrulama başarısızlıkları, iş ve eğitim ortamlarında kesintilere yol açarken, sorunun kaynağını anlamak için detaylı bir inceleme şart oldu. Bu durum, Microsoft’un güvenlik odaklı güncellemelerinin mevcut ağ altyapılarıyla nasıl etkileşime girdiğine dair önemli soruları gündeme getiriyor.

Kurumsal Ağlarda Güvenlik ve Kimlik Doğrulama Dinamikleri

Kurumsal ve eğitim ağları, hassas verilerin korunması ve yetkisiz erişimin engellenmesi adına ev ağlarından çok daha katı güvenlik protokolleri uygular. Bu protokollerin başında WPA2-Enterprise gibi gelişmiş kimlik doğrulama mekanizmaları gelir. WPA2-Enterprise, 802.1X standardını kullanarak her kullanıcıya özel kimlik doğrulaması yapar ve genellikle PEAP (Protected Extensible Authentication Protocol) gibi EAP türleriyle birlikte çalışır. Bu sistemler, kullanıcı adı ve şifre ile RADIUS sunucuları üzerinden doğrulama yaparak ağa erişimi kontrol eder.

Son Windows güncellemeleri, özellikle KB5127648, NTLMv1 (NT LAN Manager sürüm 1) tabanlı tekli oturum açma (SSO) yöntemlerine yönelik varsayılan güvenlik politikalarında ciddi değişiklikler getirdi. Bu güncelleme, Credential Guard kapalı olduğunda ve BlockNtlmv1SSO değeri ayarlanmadığında NTLMv1’den türetilen SSO isteklerini engellemeye başladı. Bu güvenlik iyileştirmesi, ağ yöneticileri için uzun vadede faydalı olsa da, MS-CHAPv2 kullanan Wi-Fi, Ethernet ve VPN bağlantıları gibi NTLMv1’e bağımlı olabilecek eski altyapılarda beklenmedik sorunlara neden olabiliyor. Kullanıcıların güncellemeyi takiben PEAP tabanlı ağlara bağlanamaması, bu değişikliğin pratik etkisini gözler önüne serdi.

NTLMv1 Engellemesi ve Olay Kimliği 4025’in Rolü

Microsoft’un KB5127648 güncellemesiyle birlikte getirilen temel teknik değişiklik, NTLMv1 protokolünün güvenlik riskleri nedeniyle varsayılan olarak bloklanmasıdır. NTLMv1, modern güvenlik standartları açısından zayıflıklar barındıran eski bir kimlik doğrulama protokolüdür. Şirket, bu protokolün kullanımını kısıtlayarak işletim sistemi güvenliğini artırmayı hedeflemiştir. Ancak, bazı kurumsal ağlar hala MS-CHAPv2 ile birlikte NTLMv1 türevi kimlik doğrulama yöntemlerini kullanabilmektedir.

Bu engelleme “Zorlama (Enforce)” modunda gerçekleştiğinde, Windows olay günlüklerine Olay Kimliği 4025 (Hata) kaydı düşer. Bu hata, bir NTLMv1 isteğinin güvenlik politikası nedeniyle engellendiğini gösterir. Kullanıcılar, Wi-Fi bağlantı denemelerinin başarısız olduğu zamanlarda bu olayı kontrol ederek sorunun kaynağını doğrulayabilirler. Olay Görüntüleyicisi’ni açıp “Uygulama ve Hizmet Günlükleri”, “Microsoft”, “Windows”, “NTLM”, “Operational” yolunu izleyerek ilgili kayıtları bulmak mümkündür. Eğer bağlantı hatasıyla aynı zamanda Olay Kimliği 4025 kaydı varsa, sorun büyük olasılıkla bu NTLMv1 engellemesinden kaynaklanmaktadır. Olay Kimliği 4024 (Uyarı) ise isteğin sadece denetlendiğini ve geçici olarak izin verildiğini, ancak gelecekte engellenebileceğini işaret eder.

Etkilenen Kullanıcılar ve Pratik Çözüm Yolları

Bu güvenlik güncellemesinin doğrudan etkisi, özellikle Windows 11‘in 24H2, 25H2 ve 26H2 sürümlerini çalıştıran bilgisayarlarda kurumsal Wi-Fi ağlarına erişmeye çalışan kullanıcıları kapsıyor. Üniversiteler, şirketler ve diğer büyük kuruluşlar genellikle WPA2-Enterprise ve 802.1X PEAP gibi gelişmiş kimlik doğrulama yöntemlerini kullandıkları için, bu ortamlardaki çalışanlar ve öğrenciler bağlantı sorunlarıyla karşılaşabilir. Ev ağları veya ortak Wi-Fi erişim noktaları gibi WPA2-Personal (paylaşılan parola) kullanan ağlar, 802.1X veya MS-CHAPv2 kullanmadıkları için bu durumdan etkilenmezler.

Microsoft, manuel olarak girilen kimlik bilgilerinin “Zorlama” modunda bile çalıştığını belirtiyor. Bunun nedeni, sadece tekli oturum açma akışlarının engellenmesi, doğrudan kimlik doğrulamanın ise aktif kalmasıdır. Bu bağlamda, sorunu yaşayan kullanıcılar için en hızlı geçici çözüm, ağ bağlantısını unutup yeniden bağlanmak ve kimlik bilgilerini elle girmektir. Kuruluşunuzun kullandığı “DOMAINkullanıcıadı” formatında doğru kimlik bilgilerini elle yazarak bağlantı kurmak, çoğu durumda sorunu çözer. Bazı kullanıcılar, bilgisayar yeniden başlatıldıktan sonra bu işlemi tekrarlamak zorunda kalabileceğini ifade etmiştir, ancak bu yöntem anlık erişim sağlaması açısından oldukça pratiktir.

Geçici Yapılandırma ve Risk Yönetimi: BlockNtlmv1SSO Ayarı

Sorunun kök nedenine inmek ve daha kapsamlı bir çözüm sunmak adına, ağ yöneticilerinin ele alabileceği bir diğer seçenek, Windows kayıt defterinde BlockNtlmv1SSO değerini geçici olarak değiştirmektir. Microsoft, bu değeri 0 olarak ayarlamanın, henüz güncellenemeyen kritik bağımlılıklar için geçici bir istisna olduğunu belirtir. Ancak bu bir güvenlik ödünleşimi anlamına gelir ve sistemin koruma seviyesini azaltır. Dolayısıyla bu yöntem, ancak yönetilen bilgisayarlarda, IT departmanının onayıyla ve çok belirli durumlar için kullanılmalıdır.

Bu tür bir kayıt defteri değişikliği yapmadan önce mutlaka sistemin yedeklenmesi gerekir. Ayrıca, değişikliğin kapsamını mümkün olduğunca dar tutmak ve ağ altyapısı MS-CHAPv2 kullanımını sona erdirdiğinde bu istisnayı kaldırmak büyük önem taşır. Bu adım, kalıcı bir çözüm olmaktan ziyade, eski sistemlerin modern güvenlik politikalarına adapte olması için zaman kazandıran bir köprü görevi görür. Uzun vadede, kuruluşların NTLm v1 bağımlılığını ortadan kaldırarak daha güvenli kimlik doğrulama protokollerine geçiş yapması elzemdir.

Ayarın değiştirileceği kayıt defteri yolu:

HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlLsaMSV1_0

Burada BlockNtlmv1SSO DWORD (32-bit) değerini 0 olarak ayarlamak gerekir. Eğer değer mevcut değilse, oluşturulmalıdır.

Kurumsal Ağların Geleceği ve Güvenlik Adaptasyonu

Bu türden bir güncelleme sorunu, kurumsal ağların güvenlik ve uyumluluk dengesini sürekli olarak gözden geçirmesi gerektiğini açıkça ortaya koyuyor. Microsoft’un NTLMv1 gibi eski protokolleri devre dışı bırakma adımları, genel siber güvenlik duruşunu güçlendirme amacı taşıyor. Ancak bu, özellikle büyük ve karmaşık ağ altyapılarına sahip kuruluşlar için önemli adaptasyon zorlukları yaratabilir. IT departmanları, eski nesil sistemlerin modernize edilmesi veya modern protokollerle uyumlu hale getirilmesi konusunda daha proaktif olmak zorunda kalacaktır.

Kullanıcıların günlük iş akışlarını etkileyen bu tür kesintiler, güvenlik güncellemelerinin sadece teknik bir mesele olmaktan öte, operasyonel süreklilik ve kullanıcı deneyimi açısından da büyük önem taşıdığını gösteriyor. Uzun vadede, kimlik doğrulama süreçlerinde daha modern ve güvenli protokollerin (örneğin, Kerberos veya modern EAP türleri) benimsenmesi kaçınılmazdır. Bu durum, hem yazılım geliştiricilerin hem de ağ yöneticilerinin güvenlik ve kullanılabilirlik arasındaki hassas dengeyi sürekli olarak yeniden tanımlaması gereken bir çağda yaşadığımızın altını çizmektedir.