Microsoft zet zijn langetermijnstrategie voort om authenticatiebeveiliging binnen Windows Server- en Active Directory-omgevingen verder te versterken. Een van de volgende belangrijke stappen binnen die strategie is de geleidelijke verwijdering van RC4 uit Kerberos-authenticatie.
Voor de meeste moderne IT-omgevingen zal deze overgang zonder grote verstoringen verlopen. Organisaties die nog afhankelijk zijn van verouderde systemen, oude serviceaccounts of onaangeroerde Kerberos-configuraties kunnen echter authenticatieproblemen ondervinden als er geen voorbereiding gebeurt.
Kerberos is het standaard authenticatieprotocol dat wordt gebruikt in Microsoft Active Directory-omgevingen. Historisch gezien vertrouwden veel omgevingen op het RC4-encryptiealgoritme voor Kerberos-ticketing.
Het probleem:
RC4 wordt vandaag beschouwd als cryptografisch zwak en voldoet niet langer aan moderne beveiligingsstandaarden.
De oplossing:
Microsoft beweegt omgevingen daarom richting AES-gebaseerde Kerberos-encryptie (AES-128 en AES-256).
Vanaf de Windows security updates van april 2026:
RC4 wordt standaard niet langer opgenomen in de Kerberos-encryptiemethoden die door een domein worden ondersteund.
Volgende updates later in 2026:
Dit betekent dat systemen of accounts die nog uitsluitend afhankelijk zijn van RC4 mogelijk niet langer succesvol kunnen authenticeren.
Moderne besturingssystemen en applicaties ondersteunen AES al en worden niet getroffen. De impact heeft vooral betrekking op legacy systemen of oudere configuraties die nooit gemoderniseerd werden.
Mogelijk getroffen componenten zijn:
Een belangrijke nuance:
RC4 vandaag gebruiken betekent niet automatisch dat er een storing zal optreden.
Veel systemen die momenteel RC4 aanvragen, ondersteunen ook AES maar blijven RC4 gebruiken omdat het beschikbaar blijft. Zodra RC4 verwijderd wordt, kunnen deze systemen automatisch succesvol AES onderhandelen.
Daarom zijn verificatie en monitoring cruciaal vóór enforcement.
De volgende besturingssystemen zijn afhankelijk van RC4 en zullen naar verwachting authenticatieproblemen ondervinden zodra RC4 volledig uitgeschakeld wordt:
Deze platformen:
De volgende Windows-versies worden niet inherent getroffen:
Maar zelfs in moderne omgevingen:
AES-capaciteit alleen garandeert geen readiness.
Als organisaties onvoorbereid zijn, kan de uitfasering van RC4 leiden tot:
Het goede nieuws is dat het risico zeer beheersbaar is wanneer het proactief wordt aangepakt.
Het doel is niet om onnodige ongerustheid te creëren. In veel omgevingen zal de overgang naar AES vlot verlopen.
Het echte doel van een assessment is het identificeren van:
Systemen die stilzwijgend RC4 verkiezen ondanks beschikbare AES-ondersteuning
Dit stelt organisaties in staat om remediatie gecontroleerd te plannen in plaats van te reageren tijdens een storing.
We raden sterk aan om een Kerberos-readiness assessment uit te voeren voordat RC4-enforcement verplicht wordt.
Typische stappen zijn:
Identificeer welke systemen, services of accounts nog RC4 Kerberos-tickets aanvragen.
Bevestig of de geïdentificeerde systemen AES-encryptie correct ondersteunen.
Afhankelijk van de bevindingen kan dit het volgende omvatten:
De overstap naar AES-only authenticatie moet gepland en gevalideerd worden vóór de enforcement deadlines.
Ja, Microsoft laat momenteel nog tijdelijke compatibiliteitsinstellingen toe om RC4-ondersteuning opnieuw in te schakelen voor remediatiedoeleinden.
Maar:
Toekomstige updates zullen deze fallback uiteindelijk volledig verwijderen
De langetermijnaanbeveling blijft duidelijk:
volledig migreren naar AES waar mogelijk.
Onze teams kunnen ondersteunen met:
Wijzigingsdocumentatie en testing
Of u nu nood heeft aan een technische deep-dive of een volledige assessment van uw omgeving of ondersteuning met remediatie of testing, proactieve voorbereiding vandaag helpt authenticatieverrassingen morgen vermijden.
Microsofts uitfasering van RC4 maakt deel uit van een bredere security hardening-strategie, ontworpen om de weerbaarheid van moderne Active Directory-omgevingen te verbeteren.
Voor de meeste organisaties blijft de impact beperkt, op voorwaarde dat legacy afhankelijkheden tijdig geïdentificeerd worden.
Nu voorbereiden helpt zorgen voor:
Compliance met moderne beveiligingsstandaarden
De overgang weg van RC4 is niet zomaar een toekomstige Microsoft-wijziging. Voor veel organisaties is het ook een kans om langdurige authenticatie-afhankelijkheden eindelijk te moderniseren voordat ze een bedrijfsrisico worden.
👉 Neem contact op voor begeleiding op maat
|
Christophe Verhaeghe |
Daria Kovalenko |
Davy Cardon |