NTLM 101: lo básico y los riesgos

Publicado: 25/6/2025

Para los profesionales de TI y las organizaciones conscientes de la seguridad, entender este protocolo antiguo, cómo funciona y por qué sigue presente en tu red es más importante de lo que podrías pensar. Este blog busca dar claridad sobre el funcionamiento interno de NTLM, reconocer sus riesgos y beneficios, y ofrecer consejos prácticos para proteger tu entorno.

Sigue leyendo mientras eliminamos la jerga para explicar qué es NTLM, cómo autentica a los usuarios, cómo se compara con Kerberos y por qué sigue siendo relevante, incluso cuando las amenazas modernas se vuelven más sofisticadas.

¿Qué es NTLM?

NTLM significa New Technology LAN Manager. Desarrollado por Microsoft, NTLM es un conjunto de protocolos de seguridad diseñados para autenticar usuarios en redes que ejecutan sistemas operativos Windows. En esencia, NTLM ofrece una forma de confirmar la identidad de alguien sin pedirle constantemente su contraseña, lo que lo convirtió en un actor temprano en el ámbito del inicio de sesión único (SSO).

NTLM fue el protocolo estándar para los dominios de Windows hasta Windows 2000, cuando Kerberos tomó el control de forma predeterminada. Sin embargo, NTLM todavía forma parte de los sistemas Windows actuales, principalmente por razones de compatibilidad con sistemas antiguos. Eso significa que, si tu red tiene aplicaciones o clientes antiguos, es probable que NTLM siga presente en algún punto de la cadena de autenticación.

Datos rápidos sobre NTLM

Desarrollado para entornos de Microsoft Windows
Se basa en un mecanismo de desafío-respuesta
Sigue presente en muchas redes para dar soporte a sistemas antiguos
Reemplazado por Kerberos en los dominios de Active Directory más nuevos, pero no retirado por completo

Cómo funciona el proceso de desafío-respuesta de NTLM

Los protocolos de autenticación pueden parecer un laberinto, pero el proceso de NTLM se reduce a un simple intercambio de tres pasos entre el cliente y el servidor. ¿El objetivo principal? Comprobar la identidad del usuario sin enviar contraseñas por la red.

Autenticación NTLM paso a paso

Esto es lo que ocurre cuando intentas iniciar sesión con NTLM:

Negociación

El cliente (tu computadora) inicia una conversación con el servidor y le indica NTLM como opción de autenticación.

Desafío

El servidor responde con un “desafío” aleatorio: un número único de 16 bytes.

Respuesta

El cliente, usando la contraseña del usuario (o más bien, un hash de ella), cifra el desafío y envía esta “respuesta” de vuelta al servidor.

Verificación

El servidor envía el nombre de usuario, el desafío y la respuesta al controlador de dominio.

El controlador de dominio recupera el hash de contraseña almacenado del usuario, lo usa para cifrar el desafío nuevamente y compara su resultado con la respuesta del cliente.

Acceso concedido (o denegado)

Si las respuestas cifradas coinciden, la autenticación es exitosa. Si no, se bloquea el acceso.

Puntos clave

La contraseña real nunca viaja por la red en texto plano.
En cambio, se usan los hashes de contraseña para cifrar la prueba de que el usuario conoce la contraseña.
Esto evita las escuchas, pero, como veremos, está lejos de ser infalible.

¿Para qué se usa NTLM?

A pesar de su antigüedad, las raíces de NTLM siguen presentes en el tejido de muchas redes corporativas. Encontrarás NTLM en situaciones como:

Autenticar dispositivos que ejecutan versiones antiguas de Windows (Windows 95/98/NT)
Permitir que los servidores modernos se comuniquen con clientes o aplicaciones desactualizados que no admiten Kerberos
Gestionar inicios de sesión locales en sistemas independientes o máquinas que no están unidas a un dominio
Actuar como método de respaldo cuando Kerberos falla

Nadie se propone depender de un protocolo de autenticación antiguo, pero dar soporte a sistemas heredados y redes complejas puede dificultar una eliminación total. Piensa en NTLM como ese pariente terco en una reunión familiar: tal vez no sea el alma de la fiesta, pero tampoco puedes simplemente echarlo.

Cómo funciona el proceso de autenticación de NTLM

El mecanismo central de NTLM es el protocolo de desafío-respuesta, como mencionamos antes, pero hay matices que vale la pena entender.

Dentro del protocolo de NTLM

Recopilación de credenciales

Los usuarios ingresan su nombre de usuario, contraseña y dominio en su dispositivo.

Cálculo de resúmenes criptográficos

El cliente genera un resumen criptográfico de la contraseña (no el texto plano) y de inmediato elimina la contraseña real.

Inicio

El cliente envía solo el nombre de usuario al servidor.

Desafío aleatorio

El servidor lanza un número aleatorio de 16 bytes, desafiando al cliente a probar su identidad.

Respuesta cifrada

El cliente cifra este desafío usando el resumen criptográfico de la contraseña, luego envía el resultado como respuesta.

Verificación de un tercero

El servidor consulta al controlador de dominio, que cifra el desafío con su propia copia del resumen criptográfico del usuario.

Coincidencia y aprobación

Si los resúmenes criptográficos coinciden, se permite el acceso.

En apariencia, NTLM mantiene las contraseñas fuera de la red, favoreciendo comparaciones mediante resúmenes criptográficos. Sin embargo, este método ha envejecido mal, lo que lo convierte en un blanco tentador para los atacantes modernos.

NTLM vs. Kerberos: ¿Cuál es la verdadera diferencia?

Si NTLM es el defensor atrapado en el pasado, Kerberos es la alternativa rápida y moderna que Microsoft ahora confía por defecto.

El enfoque

NTLM

Usa un intercambio de desafío-respuesta (tres mensajes), validando la identidad cada vez para cada recurso.

Kerberos

Implementa un sistema de “tickets” administrado por un Centro de distribución de claves (KDC). Después del inicio de sesión, los usuarios reciben un ticket (clave de sesión) que otorga acceso durante un período definido, reduciendo el uso repetido de la contraseña.

Cifrado

NTLM

Depende del cálculo de resúmenes criptográficos de contraseñas, que, si se roban, pueden ser explotados por atacantes mediante técnicas de “pass-the-hash”.

Kerberos

Usa cifrado sólido. Tanto los tickets como los autenticadores están cifrados, lo que hace que el robo de credenciales sea mucho menos explotable.

Seguridad

NTLM

Sin soporte para autenticación multifactor
Vulnerable a ataques de fuerza bruta y pass-the-hash
Carece de “salting” en los resúmenes criptográficos de contraseñas

Kerberos

Construido en torno a servicios cifrados de otorgamiento de tickets
La opción predeterminada para los dominios de Active Directory
Moderno, flexible y más resistente a la mayoría de los tipos de ataques de credenciales

La principal falla de NTLM está en cómo maneja los resúmenes criptográficos de contraseñas y la autenticación. Sin “salting” (agregar datos aleatorios a los resúmenes criptográficos), los atacantes con acceso a estos resúmenes pueden hacerse pasar por usuarios, sin necesidad de la contraseña real. Esto hace que los ataques de fuerza bruta y pass-the-hash sean peligrosamente efectivos.

Suma a esto la criptografía estática y simplista de NTLM, y la falta de opciones de autenticación multifactor, y tienes una receta para el compromiso que los actores de amenazas modernos adoran explotar.

Kerberos, en cambio, aporta tickets de sesión, comunicaciones cifradas y rutinas criptográficas sólidas. Agrega capas de defensa que NTLM simplemente no puede igualar.

Beneficios de NTLM y por qué algunos todavía lo usan

A pesar de sus fallas, NTLM sí ofrece algunas ventajas genuinas, especialmente desde la perspectiva del soporte heredado:

Compatibilidad: Mantiene el software y los sistemas operativos más antiguos funcionales en entornos mixtos
Simplicidad: Sencillo, con poca sobrecarga en comparación con protocolos más complejos
Protección de contraseñas (hasta cierto punto): Garantiza que la contraseña en texto plano del usuario nunca se envíe por la red

Pero por cada ventaja, hay un riesgo correspondiente. La compatibilidad es lo que mantiene a NTLM con vida; también es lo que lo hace tan peligroso en un contexto moderno.

Desventajas y problemas de seguridad de NTLM

Las desventajas de NTLM se han vuelto cada vez más críticas a medida que los atacantes se vuelven más audaces y sofisticados.

Vulnerable a ataques
La falta de salting en las contraseñas permite a los atacantes suplantar usuarios mediante credenciales con hash
Susceptible a ataques de fuerza bruta y pass-the-hash
No es compatible con los estándares de seguridad actuales
No tiene autenticación multifactor
No puede aprovechar los algoritmos de cifrado más recientes
Obsoleto pero difícil de eliminar

Los sistemas heredados lo requieren, por lo que sigue teniendo presencia

Piensa en NTLM como una cerradura destartalada en una puerta. Funciona, pero cualquier ladrón decidido sabe exactamente cómo forzarla.

Fortalece tus defensas

Si el NTLM todavía acecha en tu organización, trátalo como tratarías una puerta trasera sin protección. No confíes en la esperanza. Convierte en un objetivo de seguridad claro auditar, aplicar parches y, finalmente, dejar atrás el NTLM. También vale la pena considerar invertir en soluciones de seguridad y estrategias de protección de identidad diseñadas para las amenazas modernas.

Preguntas frecuentes

Sí, pero solo por compatibilidad con versiones anteriores. Kerberos sigue siendo el valor predeterminado para los nuevos dominios de Active Directory.

Puede serlo, pero solo si todos los sistemas y aplicaciones de tu red son compatibles con Kerberos u otra alternativa segura.

NTLM depende de criptografía obsoleta, es vulnerable a ataques pass-the-hash y no admite autenticación multifactor.

Muchos sistemas Windows más antiguos y algunas aplicaciones requieren NTLM para la autenticación de red, por lo que persiste.

Las auditorías de red, las herramientas de monitoreo y la revisión de registros del sistema pueden revelar dónde ocurren los intentos de autenticación NTLM.

Recursos adicionales

¿Qué es la gestión de la postura de seguridad de las aplicaciones (ASPM)?

Ciberseguridad 101

Descubre cómo la ASPM da visibilidad de seguridad continua a lo largo del ciclo de vida del desarrollo de software, ayudando a las organizaciones a priorizar riesgos y agilizar la remediación.

¿Qué es Google Dorking? Cómo los hackers usan los motores de búsqueda para el reconocimiento

Ciberseguridad 101

Aprende qué es Google Dorking, cómo los hackers usan operadores de búsqueda avanzados para encontrar información sensible, y los pasos para proteger tu negocio de este riesgo de ciberseguridad.

Qué es un LAN ID y su importancia en la ciberseguridad

Ciberseguridad 101

Descubre qué es un LAN ID, su propósito en la autenticación de red y cómo fortalece la ciberseguridad en redes locales.

Protege lo que importa

Protege endpoints, correo electrónico y empleados con el poder de nuestro SOC 24/7. Prueba Huntress gratis y despliega en minutos para empezar a combatir las amenazas.

Probar Huntress gratis

NTLM 101: lo básico y los riesgos

NTLM 101: lo básico y los riesgos