Microsoft poursuit ses efforts à long terme pour renforcer la sécurité de l’authentification dans les environnements Windows et Active Directory. L’une des prochaines étapes majeures de cette stratégie est la suppression progressive de RC4 de l’authentification Kerberos.
Pour la plupart des environnements modernes, cette transition se fera sans perturbation majeure. Cependant, les organisations qui dépendent encore de systèmes legacy, de comptes de service obsolètes ou de configurations Kerberos jamais modernisées peuvent rencontrer des problèmes d’authentification si aucune préparation n’est effectuée en amont.
Kerberos est le protocole d’authentification par défaut utilisé dans les environnements Microsoft Active Directory. Historiquement, de nombreux environnements s’appuyaient sur l’algorithme de chiffrement RC4 pour les tickets Kerberos.
Le problème :
RC4 est aujourd’hui considéré comme cryptographiquement faible et ne répond plus aux standards de sécurité modernes.
La solution :
Microsoft fait donc évoluer les environnements vers un chiffrement Kerberos basé sur AES (AES-128 et AES-256).
À partir des mises à jour de sécurité Windows d’avril 2026 :
RC4 ne sera plus inclus par défaut dans les méthodes de chiffrement Kerberos prises en charge par un domaine.
Lors des mises à jour suivantes plus tard en 2026 :
Aucun mécanisme de retour arrière pris en charge ne restera disponible.
Cela signifie que les systèmes ou comptes dépendant exclusivement de RC4 pourraient ne plus pouvoir s’authentifier correctement.
Les systèmes d’exploitation et applications modernes prennent déjà en charge AES et ne sont pas impactés. L’impact concerne principalement les systèmes legacy ou les anciennes configurations qui n’ont jamais été modernisés.
Les composants potentiellement impactés incluent :
Une nuance importante :
Utiliser RC4 aujourd’hui ne signifie pas automatiquement qu’une interruption surviendra.
De nombreux systèmes qui demandent actuellement du RC4 prennent également en charge AES, mais continuent simplement d’utiliser RC4 parce qu’il reste disponible. Une fois RC4 supprimé, ces systèmes pourront automatiquement négocier AES avec succès.
C’est pourquoi la vérification et le monitoring sont essentiels avant l’application des nouvelles règles.
Les systèmes d’exploitation suivants dépendent de RC4 et devraient rencontrer des problèmes d’authentification une fois RC4 totalement désactivé :
Ces plateformes :
Les versions Windows suivantes ne sont pas impactées de manière intrinsèque :
Cependant, même dans les environnements modernes :
La prise en charge d’AES seule ne garantit pas la préparation de l’environnement.
Si les organisations ne sont pas préparées, la suppression de RC4 peut entraîner :
Une pression accrue sur le troubleshooting lors des fenêtres de mise à jour
La bonne nouvelle est que le risque reste très maîtrisable lorsqu’il est traité de manière proactive.
L’objectif n’est pas de créer une inquiétude inutile. Dans de nombreux environnements, la transition vers AES se déroulera sans difficulté.
Le véritable objectif d’une évaluation est d’identifier :
Cela permet aux organisations de planifier la remédiation de manière contrôlée plutôt que de réagir lors d’une interruption.
Nous recommandons fortement d’effectuer une évaluation de préparation Kerberos avant que l’application de la suppression de RC4 ne devienne obligatoire.
Les étapes typiques incluent :
Identifier les systèmes, services ou comptes demandant encore des tickets Kerberos RC4.
Confirmer que les systèmes identifiés prennent correctement en charge le chiffrement AES.
Depending on the findings, this may involve:
La transition vers une authentification AES-only doit être planifiée et validée avant les échéances d’application.
Oui, Microsoft autorise actuellement encore des paramètres de compatibilité temporaires permettant de réactiver RC4 à des fins de remédiation.
Cependant :
Les futures mises à jour supprimeront définitivement cette solution de secours
La recommandation à long terme reste claire :
migrer complètement vers AES partout où cela est possible.
Nos équipes peuvent vous accompagner avec :
Que vous ayez besoin d’un deep-dive technique, d’une évaluation complète de votre environnement ou d’un accompagnement pour la remédiation ou les tests, une préparation proactive aujourd’hui permet d’éviter les mauvaises surprises d’authentification demain.
La suppression de RC4 par Microsoft fait partie d’une stratégie plus large de renforcement de la sécurité visant à améliorer la résilience des environnements Active Directory modernes.
Pour la plupart des organisations, l’impact restera limité, à condition que les dépendances legacy soient identifiées à temps.
Se préparer dès maintenant permet de garantir :
La conformité avec les standards de sécurité modernes
La transition loin de RC4 n’est pas simplement un futur changement Microsoft. Pour de nombreuses organisations, c’est aussi une opportunité de moderniser enfin des dépendances d’authentification anciennes avant qu’elles ne deviennent un risque métier.
👉 Contactez-nous pour un accompagnement personnalisé
|
Christophe Verhaeghe |
Daria Kovalenko |
Davy Cardon |