ntlmsspとは？初心者にも分かるNTLM認証のしくみと使われる場面共起語・同意語・対義語も併せて解説！

この記事を書いた人

高岡智則

年齢：33歳性別：男性職業：Webディレクター（兼ライティング・SNS運用担当）居住地：東京都杉並区・永福町の1LDKマンション出身地：神奈川県川崎市身長：176cm 体系：細身〜普通（最近ちょっとお腹が気になる）血液型：A型誕生日：1992年11月20日最終学歴：明治大学・情報コミュニケーション学部卒通勤：京王井の頭線で渋谷まで（通勤20分）家族構成：一人暮らし、実家には両親と2歳下の妹恋愛事情：独身。彼女は2年いない（本人は「忙しいだけ」と言い張る）

ntlmsspとは？

ntlmssp とは、NTLM 認証を動かすうえで欠かせない「セキュリティサポートプロバイダ（SSP）」の一部です。NTLM は古くから使われてきたネットワーク認証の仕組みで、パソコン同士やサーバーが互いに信頼できるかを確かめるために、パスワードのハッシュを使って認証を行います。ntlmssp はこの認証のやり方を決めるルールの集合のようなもので、実際にデータをやり取りする形式を定義しています。

NTLM 認証の基本的な流れは次の3段階です。まずクライアントがサーバーへ「Type 1」と呼ばれる交渉メッセージを送ります。次にサーバーが「Type 2」と呼ばれる挑戦メッセージを返します。最後にクライアントが「Type 3」と呼ばれる応答メッセージを返し、パスワードのハッシュを使ってサーバーに自分を証明します。ntlmssp はこのやり取りの形式・順序・必要な情報（例えばどの暗号化方式を使うかなど）を規定します。

ntlmssp が登場する場面は多く、特に以下のような状況で見かけます。Windows の組み込み認証（Windows Authentication）を使うWeb サーバーや、SMB（ファイル共有）を利用する際の認証、またはLinux と Windows が混在する環境での連携時などです。Windows のネットワーク環境では NTLM と Kerberos の二つの認証方式が使われることが多く、ntlmssp は NTLM の実装を支える部品のひとつとして動作します。

NTLMSSP の重要なポイントは、NTLM の通信自体が脆弱になる可能性がある点を理解しておくことです。過去にはリレー攻撃と呼ばれる悪用例が報告され、認証情報が第三者に悪用される危険性があります。そのため、可能な限り NTLM の使用を抑え、Kerberos などより安全な認証方式を使う設計が推奨されます。

ntlmssp の主な特徴を簡単にまとめると、以下のとおりです。1) NTLM 認証のネゴシエーションを定義する、2) バージョンやフラグといった情報を整理する、3) 署名と封じ込み（署名付きメッセージ、データの整合性を保証する機能）を可能にする、といった点です。署名機能はデータの改ざんを防ぐために重要ですが、実装が正しく行われていない環境では依然としてリスクがあります。したがって、サーバーの設定を見直す際には ntlmssp の働きをよく理解し、適切なセキュリティ対策をとることが大切です。

NTLMと ntlmssp の違いを知ろう

NTLM は「認証の仕組みそのもの」、ntlmssp はその仕組みを動かすための「規定」です。NTLM の認証を使うとき、ntlmssp がデータの形式を決め、クライアントとサーバーがどう情報をやりとりするかを取り決めます。したがって、ntlmssp は NTLM を使う全ての場面で間接的に関与していると考えて良いでしょう。

NTLM	古くから使われる認証方式。パスワードハッシュを用いる。Kerberos ほど安全性が高くない場合がある。
NTLMSSP	NTLM のメッセージ形式と挙動を定義する規約。実装を統一し、署名・封じなどの機能に関与する。

実務での対策としては、可能であれば NTLM の使用を減らして Kerberos を中心に運用すること、または NTLMv2 の利用を優先することが挙げられます。さらに外部の公開サービスや SaaS を利用する場合は、認証のフェデレーションが Kerberos 写真（関連記事：写真ACを三ヵ月やったリアルな感想【写真を投稿するだけで簡単副収入】）であることを確認し、不要な NTLM の露出を避ける工夫が必要です。

ntlmssp の読者向けのまとめとしては、NTLM 認証の理解を深める第一歩として役立つ点が多いです。ntlmssp は NTLM の認証の流れを動かす規格であり、セキュリティを左右する要素です。最新のセキュリティ対策を講じる際には、ntlmssp の存在を前提にした設計を心がけてください。

この記事を読んでいるあなたが「ntlmsspとは何か」をつかむことができれば、ネットワークのセキュリティを高める第一歩になります。難しい専門用語は出てきますが、核心は「情報を安全にやりとりするための約束事を守ること」です。もし今使っているシステムが NTLM を使っているなら、管理者に相談して代替手段を検討し、最新のセキュリティ更新を適用してください。

ntlmsspの同意語

NTLMSSP: NTLM Security Support Provider の略称。Windows がNTLM認証を実現する際に使われるセキュリティサポート機構の一部を指す一般的な呼称。
NTLM Security Support Provider: NTLM 認証を提供するセキュリティサポート機構の正式名称。NTLMSSP の完全な表現。
NTLM SSP: NTLM Security Support Provider の省略形。認証周辺の文書でよく見かける表現。
NTLM 認証のセキュリティサポートプロバウダ: NTLM 認証を支えるセキュリティサポートの総称。文脈上、NTLMSSP と同義として使われることがある表現。
NTLMSSP プロトコル: NTLMSSP によって扱われる認証プロトコルのこと。NTLM 認証の交渉やメッセージ交換を担う枠組みを指す名称。
NTLM 認証プロトコルの一種（NTLMSSP）: NTLM認証の中の一つのプロトコル仕様を指す説明表現。NTLMSSP が具体的に関わる認証の仕組みを示します。

ntlmsspの対義語・反対語

Kerberos: NTLMSSPの代替となる認証プロトコル。チケットを用いた認証で、ドメイン環境で広く使われ、パスワードの直接送信を避ける設計が特徴です。
OAuth 2.0: 認証と認可を分離するトークンベースの認証フレームワーク。ウェブアプリやAPIの連携で広く採用され、NTLMSSPとは別の設計思想の認証方式です。
SAML: XMLベースのシングルサインオン（SSO）と認証情報の交換標準。企業間でのIdPとSPの連携に使われ、NTLMSSPと異なる認証アプローチです。
OpenID Connect: OAuth 2.0の上に構築された認証レイヤー。ユーザーの身元を検証する仕組みで、NTLMSSPの代替候補となり得ます。
無認証: 認証を一切行わないアクセスの状態。セキュリティ上は最も低く、NTLMSSPのような認証機構の対極です。
匿名認証: ユーザーを識別せずにアクセスを許可する認証形態。IDの特定を伴わない点が特徴で、NTLMSSPとは反対の性質を持ちます。
パスワード認証: ユーザー名とパスワードを直接用いた認証方式。NTLMSSPのようなチャレンジ・レスポンス方式とは異なる、従来型の認証です。
PKI認証: 公開鍵基盤を利用した証明書ベースの認証。証明書で本人確認を行い、パスワードベース・NTLM系とは異なる認証手段です。
パスワードレス認証: パスワードを使わない認証手法。FIDO2/WebAuthnなどの生体認証・ハードウェアセキュリティキーを活用するケースが多く、NTLMSSPのパスワード依存と対になる認証形態です。

ntlmsspの共起語

NTLM: NTLMはWindowsで使われる古い認証プロトコルで、チャレンジ-レスポンス方式を用います。NTLMSSPはこの認証をSSPI経由で実装する拡張です。
NTLMv1: NTLMの第1世代。古く、現在はセキュリティ上の理由から推奨されません。
NTLMv2: NTLMの改良版。挑戦レスポンスの計算が強化され、セキュリティが改善されています。
NTLMSSP: NTLMの機能を拡張・実装するパケット仕様。NTLM認証をSSPI経由で扱う際に使われます。
SSPI: Security Support Provider Interfaceの略。Windowsで認証情報を抽象化して扱うAPI群です。
SPNEGO: Negotiate機構。NTLMかKerberosかなどの認証方式を協議して選択します。主にHTTP認証で使われます。
Kerberos: 現代的で安全性が高い認証プロトコル。Windowsのデフォルト認証としてよく用いられ、NTLMの代替となることが多いです。
HTTP認証: Webサーバとクライアント間でNTLMやKerberosを使った認証を行う仕組みの総称です。
SMB: Windowsのファイル共有プロトコル。NTLMSSPがこの認証経路で使われることがあります。
ActiveDirectory: Windowsのディレクトリサービス。ドメイン環境での認証・権限管理に関係します。Kerberosが主に使われますが、NTLMも使用されることがあります。
NTLMハッシュ: NTLMで用いられるパスワードのハッシュ値。認証時にこのハッシュを使って応答を作成します。
LMハッシュ: NTLM以前の古いパスワードハッシュ。脆弱性が指摘され、現在は非推奨です。
チャレンジレスポンス: サーバが挑戦値を返し、クライアントがそれに応じてレスポンスを作る認証方式（NTLMの基本要素です）。
PassTheHash: パスワード本体を使わず、NTLMハッシュを他のマシンへ再利用して横断認証を行う攻撃手法・概念です。

ntlmsspの関連用語

NTLMSSP: NTLM認証を実行するためのセキュリティサポートプロバイダ。WindowsのSSPの一部として、クライアントとサーバー間での認証情報交換を担う。
NTLM: NT LAN Managerの略。古い認証プロトコルで、挑戦応答方式を用いる。Kerberosに比べ脆弱性が知られており、現代の環境ではKerberosが推奨されるが、互換性のために依然使われることがある。
NTLMv1: NTLMの初期バージョン。セキュリティ上の問題があり、現代の環境では避けられるべき。
NTLMv2: NTLMの改良版。より強力な応答生成とハッシュを用いることで、脆弱性を緩和している。
SSPI: Security Support Provider Interface。Windows上で認証・セキュリティ機能を提供する共通APIで、NTLMやKerberosの実装を統括する。
SPNEGO: Simple and Protected GSS-API Negotiation Mechanism。認証方式をネゴシエートして最適なプロトコルを選択する仕組み。WebやWindows環境でKerberos/NTLMの切替に使われる。
Negotiate: NTLMとKerberosの間で自動的に適切な認証方式を選ぶネゴシエーション。SPNEGOやNegotiate認証の実装で使われる。
Kerberos: 現在のWindowsで主に使われる強力な認証プロトコル。チケットを使った相互認証を行い、ネットワーク上の認証を安全に提供する。
NTLM Relay: NTLM認証のリレー攻撃の総称。攻撃者が認証セッションを中継して、別のサービスへ不正アクセスを行う可能性がある。対策として信頼境界の分離や適切な監視が重要。
Pass-the-Hash: NTLMハッシュを盗用してパスワードを知らなくても認証を通す攻撃手法。防御としてはハッシュの管理・最小権限原則の徹底など。
NTLM Hash: NTLM認証で用いられるパスワードのハッシュ値（NTハッシュ）。直接のパスワードではなく、認証情報として扱われる。
LM Hash: LMハッシュ。古くて安全性が低く、現在は無効化推奨。
NTLM Challenge/Response: サーバーがクライアントにチャレンジを送信し、クライアントがそのチャレンジに対して応答を返す、NTLMの基本的な認証手順。
Windows Integrated Authentication: Windows環境で、ユーザーのログイン情報を使って自動的に認証を行う仕組み。ウェブサービスやアプリケーションでも利用される。
Active Directory: Windowsのディレクトリサービス。ユーザーのアカウント情報・グループ・認証データを一元管理する。
SMB: Server Message Block。ファイル共有やプリンタ共有などのネットワーク通信を扱うプロトコル。NTLM認証はSMBセッションの開始時にも使われることがある。
SPN: Service Principal Name。Kerberos認証で特定のサービスを識別する名前。
GSS-API: Generic Security Services API。認証を抽象化した標準API。SPNEGOはこの上で利用されることが多い。
MD4: NTLMで使われる古いハッシュアルゴリズムの一種。セキュリティ上の課題が指摘されており、現代環境では非推奨。
NTLM over HTTP: Web環境でNTLM認証をHTTP経由で実行するケース。イントラネットのWebアプリなどで利用される。