Integración de Active Directory y Kerberos

Microsoft Active Directory implementa Kerberos 5 como su protocolo de autenticación principal. Cada controlador de dominio de Windows ejecuta el servicio KDC, que incluye tanto el Authentication Service como el Ticket Granting Service. El nombre del dominio se corresponde directamente con el nombre del reino Kerberos, y las cuentas de dominio corresponden a principales de Kerberos.

En un dominio de Active Directory, cada controlador de dominio puede actuar como KDC, y la replicación garantiza que la información de los principales sea coherente en todos los DC. La cuenta krbtgt, cuyo hash de contraseña es el secreto maestro para cifrar los TGT, existe en todos los dominios. Su seguridad es crítica: si se compromete, permite falsificar TGT para cualquier principal.

Cuando un usuario establece su contraseña de Active Directory, Windows deriva una clave de largo plazo de Kerberos a partir de la contraseña mediante una función de derivación de claves. Esta clave se almacena en la base de datos de AD junto con el hash NTLM. Durante la preautenticación de Kerberos, el cliente demuestra que conoce esta clave sin transmitirla.

NTLM (NT LAN Manager) es el protocolo de autenticación heredado en los entornos Windows. Windows recurre a NTLM cuando Kerberos no está disponible, por ejemplo, al acceder a un recurso mediante su dirección IP en lugar del nombre de host, cuando el destino no está unido al dominio o cuando un service principal name (SPN) no está registrado correctamente.

Los Service Principal Names (SPN) son identificadores únicos para las instancias de servicios en Active Directory. Formato: ServiceClass/FQDN:Port. Por ejemplo, HTTP/webserver.corp.example.com:443. Kerberos utiliza el SPN para buscar la clave de la cuenta de servicio correcta con la que cifrar el ticket de servicio. Los SPN configurados incorrectamente o ausentes hacen que Kerberos recurra a NTLM.

Windows utiliza SPNEGO (Simple and Protected GSSAPI Negotiation Mechanism) para negociar de forma transparente entre Kerberos y NTLM. Cuando un cliente se conecta a un servidor IIS, el servidor anuncia compatibilidad con SPNEGO, el cliente intenta usar Kerberos primero y recurre a NTLM si Kerberos falla. Esta negociación es invisible para los usuarios.

El comportamiento de Kerberos en Active Directory se configura mediante la Directiva de grupo en la Default Domain Policy. Entre las opciones se incluyen la duración máxima de los tickets (10 horas de forma predeterminada), la duración máxima de los TGT (7 días de forma predeterminada), la desviación máxima del reloj (5 minutos de forma predeterminada) y la exigencia de preautenticación. Estas opciones se aplican en todo el dominio a todas las cuentas.

PKINIT (Public Key Cryptography for Initial Authentication) es una extensión de Kerberos que permite utilizar certificados X.509 (almacenados en tarjetas inteligentes o tarjetas inteligentes virtuales) para la preautenticación AS-REQ en lugar de una clave derivada de la contraseña. La clave privada firma el AS-REQ, lo que permite una autenticación Kerberos sin contraseña respaldada por hardware.

MS-KKDCP (Microsoft Kerberos KDC Proxy Protocol) permite tunelizar el tráfico de autenticación de Kerberos mediante HTTPS, de modo que los dispositivos unidos al dominio que se encuentran fuera de la red corporativa puedan autenticarse mediante Kerberos sin una conexión VPN directa a un controlador de dominio. Se utiliza en DirectAccess y en algunos escenarios de Azure AD.

Azure AD no ejecuta Kerberos de forma nativa, pero Azure AD Kerberos permite que los usuarios administrados en la nube obtengan tickets de Kerberos para recursos locales. Azure AD Connect Cloud Sync y el servicio Azure AD Kerberos cubren esta brecha y permiten que las organizaciones con un enfoque prioritario en la nube mantengan el acceso a recursos locales protegidos por Kerberos.

El blindaje de Kerberos (FAST: túnel seguro de autenticación flexible) protege el intercambio de preautenticación al encapsularlo dentro de un TGT procedente de una cuenta de equipo de confianza. Esto impide los ataques de diccionario sin conexión contra los datos de AS-REQ, algo especialmente importante para las cuentas que no requieren preautenticación.

En Active Directory, ¿qué representa la cuenta krbtgt y por qué es fundamental para la seguridad?

Active Directory implementa Kerberos 5 en los controladores de dominio. Las contraseñas de los usuarios permiten derivar claves de larga duración de Kerberos, que se almacenan en AD. Los SPN asignan servicios a cuentas para cifrar los tickets. NTLM se utiliza como alternativa cuando Kerberos falla. PKINIT permite la autenticación con tarjetas inteligentes. La cuenta krbtgt es la raíz de confianza del dominio: si se ve comprometida, es posible falsificar Golden Tickets.