Windows-Authentifizierung: NTLM und Kerberos

Windows verwendet zwei primäre Authentifizierungsprotokolle: NTLM (älter, Challenge-Response) und Kerberos (modern, ticketbasiert). Das Verständnis beider Protokolle ist für Angriff und Verteidigung in Active Directory unverzichtbar.

NTLM funktioniert mit drei Nachrichten: Negotiate, Challenge und Authenticate. Der Client hasht das Passwort des Benutzers zusammen mit der zufälligen Challenge des Servers. Übertragen wird der Hash — nicht das Klartextpasswort.

Da NTLM mit einem Hash authentifiziert, ermöglicht der Diebstahl eines Hashes die Authentifizierung ohne Kenntnis des Klartextpassworts. Das ist der Kern von Pass-the-Hash-Angriffen — der Hash IST das Anmeldedatum.

Kerberos verwendet eine vertrauenswürdige dritte Partei (KDC — Key Distribution Center), die Tickets ausstellt. Es bietet gegenseitige Authentifizierung und vermeidet nach der anfänglichen Ausstellung des TGT die Übertragung von Zugangsdaten über das Netzwerk.

1. Der Client sendet eine AS-REQ (mit dem Passwort-Hash verschlüsselt) an die AS. 2. Die AS gibt ein TGT zurück, das mit dem krbtgt-Schlüssel verschlüsselt ist. 3. Der Client legt das TGT dem TGS vor und fordert ein Service-Ticket an. 4. Der Client legt das Service-Ticket dem Zieldienst vor.

TGT (Ticket Granting Ticket): weist die Identität gegenüber dem KDC nach und ist etwa 10 Stunden gültig. Service-Ticket: gewährt Zugriff auf einen bestimmten Dienst. Beide Tickets sind mit Schlüsseln verschlüsselt, die der Client nicht lesen kann.

Kerberos wird bevorzugt: Es unterstützt gegenseitige Authentifizierung, vermeidet die Übertragung von Klartext und ist schwerer weiterzuleiten. NTLM wird verwendet, wenn Kerberos fehlschlägt, etwa beim Zugriff über eine IP-Adresse oder von Hosts außerhalb der Domäne. Angreifer erzwingen den Rückfall auf NTLM, um Hashes abzufangen.

NTLM-Relay fängt einen NTLM-Authentifizierungsversuch ab und leitet ihn an einen anderen Dienst weiter. Dadurch erfolgt die Authentifizierung als Opfer, ohne dass dessen Passwort bekannt sein muss. Responder fängt die Authentifizierung ab, ntlmrelayx leitet sie weiter.

Bei der Vorauthentifizierung muss der Client einen Zeitstempel mit seinem Passwort-Hash verschlüsseln, bevor er ein TGT erhält. Konten, für die keine Vorauthentifizierung erforderlich ist, sind durch AS-REP Roasting gefährdet: Ihr TGT kann angefordert und offline geknackt werden.

Golden Ticket: gefälschtes TGT, das mit dem krbtgt-Hash signiert wurde und Zugriff auf alles gewährt. Silver Ticket: gefälschtes Service-Ticket für einen bestimmten Dienst. Es ist unauffälliger und kontaktiert den KDC nicht.

Deaktivieren Sie NTLM, wo möglich, erzwingen Sie die SMB-Signierung, um Relay-Angriffe zu verhindern, verlangen Sie für alle Konten eine Vorauthentifizierung, überwachen Sie ungewöhnliche Ticketanforderungen (Event ID 4768, 4769) und schützen Sie das krbtgt-Konto.

Was ermöglicht das Kerberos-TGT?

NTLM authentifiziert über eine Challenge-Response mit einem Hash und ist dadurch anfällig für Relay- und Pass-the-Hash-Angriffe. Kerberos verwendet von einem vertrauenswürdigen KDC ausgestellte Tickets und ist sicherer, aber bei einer Kompromittierung des KDC anfällig für Kerberoasting, AS-REP Roasting sowie Golden- und Silver-Ticket-Angriffe. Wenn Sie beide Protokolle kennen, können Sie Angriffspfade in Active Directory verstehen und gezielte Härtungsmaßnahmen anwenden.