Windows-godkendelse

Windows-godkendelse bekræfter, hvem en bruger er, før der gives adgang. I domæner sker dette konstant mellem klienter og domænecontrolleren.

De to vigtigste protokoller er NTLM (ældre, udfordring-svar) og Kerberos (moderne, billetbaseret). Begge er udsat for omfattende angreb.

Windows gemmer aldrig adgangskoder i klartekst for lokale konti; systemet gemmer hash i SAM-databasen. Det centrale format er NT-hash (en MD4 af adgangskoden).

Hvis en angriber dumper disse hash, kan de knække dem offline eller genbruge dem direkte.

NTLM godkender uden at sende adgangskoden:

• Serveren sender en tilfældig udfordring.
• Klienten krypterer den med NT-hashen og svarer.
• Serveren (eller DC'en) bekræfter svaret.

Det er en ældre protokol, men den er stadig aktiveret i mange netværk af hensyn til kompatibilitet.

Fordi NTLM godkender ved hjælp af hashen i stedet for klarteksten, kan en angriber, der stjæler en hash, godkende sig uden nogensinde at knække den.

Dette er Pass-the-Hash (PtH) – en effektiv teknik til lateral bevægelse mod NTLM.

Kerberos er standarden i Active Directory. Den bruger en betroet Key Distribution Center (KDC) på domænecontrolleren og tidsbegrænsede billetter i stedet for gentagne gange at sende legitimationsoplysninger.

Kerberos-forløbet:

• Brugeren godkender sig og modtager en Ticket Granting Ticket (TGT).
• For at bruge en tjeneste sender klienten TGT'en og får en Service Ticket (TGS).
• Tjenesten validerer billetten – ingen adgangskode sendes.

Kerberoasting anmoder om tjenestebilletter til konti, der kører tjenester (SPN'er). Billetten er krypteret med tjenestekontoens password-hash.

En angriber udtrækker billetten og knækker den offline for at gendanne tjenestekontoens password.

Kerberos-billetter kan også stjæles og genbruges (Pass-the-Ticket). Endnu værre er det, hvis en angriber kompromitterer hashen for kontoen krbtgt; så kan angriberen forfalske en Golden Ticket – en selvfremstillet TGT, der giver adgang til hele domænet.

Mange angreb begynder med udtrækning af legitimationsoplysninger fra en kompromitteret vært. Værktøjer udtrækker hashes og billetter fra hukommelsen i lsass.exe eller SAM-/SECURITY-hives.

Mimikatz er det bedst kendte værktøj; secretsdump er et almindeligt fjernalternativ.

Forsvarere reducerer disse risici ved at:

• Deaktivere NTLM, hvor det er muligt.
• Kræve stærke, lange passwords for tjenestekonti.
• Beskytte lsass (Credential Guard, PPL).
• Rotere krbtgt-nøglen og begrænse genbrug af administratoroplysninger.

Du kan undersøge den aktuelle godkendelseskontekst og cachede Kerberos-billetter fra en session.

Du har lært, hvordan Windows godkender brugere, og hvordan systemet angribes:

• NT-hashes i SAM muliggør cracking offline og Pass-the-Hash.
• Kerberos bruger en KDC, TGT'er og tjenestebilletter.
• Kerberoasting, Pass-the-Ticket og Golden Tickets misbruger Kerberos.
• Styrkelse: Deaktivér NTLM, beskyt lsass, og brug stærke passwords til tjenester.

Næste emne: offensiv PowerShell.