Windows-Authentifizierung

Die Windows-Authentifizierung überprüft die Identität eines Benutzers, bevor Zugriff gewährt wird. In Domänen geschieht dies ständig zwischen Clients und dem Domänencontroller.

Die beiden wichtigsten Protokolle sind NTLM (älter, Challenge-Response) und Kerberos (modern, ticketbasiert). Beide sind beliebte Ziele für Angriffe.

Windows speichert niemals Klartextpasswörter für lokale Konten, sondern Hashes in der SAM-Datenbank. Das maßgebliche Format ist der NT-Hash (ein MD4-Hash des Passworts).

Wenn ein Angreifer diese Hashes ausliest, kann er sie offline knacken oder direkt wiederverwenden.

NTLM authentifiziert, ohne das Passwort zu übertragen:

• Der Server sendet eine zufällige Challenge.
• Der Client verschlüsselt sie mit dem NT-Hash und antwortet.
• Der Server (oder DC) überprüft die Antwort.

Das Verfahren ist veraltet, wird aus Kompatibilitätsgründen aber in vielen Netzwerken weiterhin aktiviert.

Da sich NTLM mit dem Hash statt mit dem Klartext authentifiziert, kann sich ein Angreifer, der einen Hash stiehlt, authentifizieren, ohne ihn jemals zu knacken.

Dies ist Pass-the-Hash (PtH) – eine leistungsfähige Technik zur lateralen Bewegung gegen NTLM.

Kerberos ist der Standard in Active Directory. Es verwendet einen vertrauenswürdigen Key Distribution Center (KDC) auf dem Domänencontroller und zeitlich begrenzte Tickets, anstatt wiederholt Anmeldedaten zu übertragen.

Kerberos-Ablauf:

• Der Benutzer authentifiziert sich und erhält ein Ticket Granting Ticket (TGT).
• Um einen Dienst zu verwenden, legt der Client das TGT vor und erhält ein Service Ticket (TGS).
• Der Dienst validiert das Ticket – es wird kein Passwort übertragen.

Kerberoasting fordert Service-Tickets für Konten an, unter denen Dienste (SPNs) ausgeführt werden. Das Ticket wird mit dem Passwort-Hash des Dienstkontos verschlüsselt.

Ein Angreifer extrahiert das Ticket und knackt es offline, um das Passwort des Dienstkontos wiederherzustellen.

Kerberos-Tickets können ebenfalls gestohlen und wiederverwendet werden (Pass-the-Ticket). Noch schlimmer ist es, wenn ein Angreifer den Hash des Kontos krbtgt kompromittiert: Dann kann er ein Golden Ticket fälschen – ein selbst erstelltes TGT, das domänenweiten Zugriff gewährt.

Viele Angriffe beginnen mit dem Auslesen von Anmeldedaten auf einem kompromittierten Host. Tools lesen Hashes und Tickets aus dem Speicher von lsass.exe oder aus den SAM-/SECURITY-Hives aus.

Mimikatz ist das bekannteste Tool; secretsdump ist eine verbreitete Remote-Alternative.

Verteidiger reduzieren diese Risiken durch:

• Deaktivieren von NTLM, wo dies möglich ist.
• Durchsetzen starker, langer Passwörter für Dienstkonten.
• Schützen von lsass (Credential Guard, PPL).
• Rotieren des krbtgt-Schlüssels und Einschränken der Wiederverwendung von Administratorkonten.

Sie können den aktuellen Authentifizierungskontext und zwischengespeicherte Kerberos-Tickets aus einer Sitzung heraus untersuchen.

Erkennen Sie den NTLM-spezifischen Angriff.

Sie haben gelernt, wie Windows Authentifizierungen durchführt und angegriffen wird:

• NT-Hashes im SAM ermöglichen Offline-Cracking und Pass-the-Hash.
• Kerberos verwendet einen KDC, TGTs und Service-Tickets.
• Kerberoasting, Pass-the-Ticket und Golden Tickets missbrauchen Kerberos.
• Härtung: NTLM deaktivieren, lsass schützen, starke Passwörter für Dienstkonten verwenden.

Als Nächstes: offensives PowerShell.