Autenticación de Windows: NTLM y Kerberos

Windows utiliza dos protocolos de autenticación principales: NTLM (más antiguo y basado en desafío-respuesta) y Kerberos (moderno y basado en tickets). Comprender ambos es esencial para atacar y defender Active Directory.

NTLM funciona mediante tres mensajes: Negotiate, Challenge y Authenticate. El cliente aplica un hash a la contraseña del usuario junto con el desafío aleatorio del servidor. Se transmite el hash, no la contraseña en texto plano.

Como NTLM autentica mediante un hash, robar un hash permite autenticarse sin conocer la contraseña en texto plano. Este es el fundamento de los ataques Pass-the-Hash: el hash ES la credencial.

Kerberos utiliza un tercero de confianza (KDC, centro de distribución de claves) para emitir tickets. Proporciona autenticación mutua y evita transmitir credenciales por la red después de emitir inicialmente el TGT.

1. El cliente envía AS-REQ (cifrado con el hash de la contraseña) al AS. 2. El AS devuelve un TGT cifrado con la clave de krbtgt. 3. El cliente presenta el TGT al TGS para solicitar un ticket de servicio. 4. El cliente presenta el ticket de servicio al servicio de destino.

TGT (Ticket Granting Ticket): demuestra la identidad ante el KDC y es válido durante unas 10 horas. Ticket de servicio: concede acceso a un servicio específico. Ambos están cifrados con claves que el cliente no puede leer.

Se prefiere Kerberos: admite autenticación mutua, evita la transmisión en texto plano y es más difícil de retransmitir. NTLM se usa como alternativa cuando Kerberos falla (por ejemplo, al acceder mediante una dirección IP o desde hosts que no pertenecen al dominio); los atacantes fuerzan esta alternativa para capturar hashes.

NTLM relay intercepta un intento de autenticación NTLM y lo retransmite a otro servicio, autenticándose como la víctima sin conocer su contraseña. Responder captura el intento y ntlmrelayx lo retransmite.

La preautenticación exige que el cliente cifre una marca de tiempo con el hash de su contraseña antes de recibir un TGT. Las cuentas que no requieren preautenticación son vulnerables a AS-REP Roasting: se puede solicitar su TGT y crackearlo sin conexión.

Golden Ticket: TGT falsificado y firmado con el hash de krbtgt; concede acceso a todo. Silver Ticket: ticket de servicio falsificado para un servicio específico; es más sigiloso y no contacta con el KDC.

Deshabilite NTLM siempre que sea posible, exija la firma SMB para impedir los ataques de relay, requiera la preautenticación en todas las cuentas, supervise las solicitudes de tickets inusuales (Event ID 4768, 4769) y proteja la cuenta krbtgt.

NTLM autentica mediante un desafío-respuesta basado en hashes, por lo que es vulnerable a ataques de relay y pass-the-hash. Kerberos utiliza tickets emitidos por un KDC de confianza; es más seguro, pero es vulnerable a Kerberoasting, AS-REP Roasting y ataques de Golden Ticket y Silver Ticket cuando el KDC está comprometido. Conozca ambos protocolos para comprender las rutas de ataque de Active Directory y aplicar medidas de refuerzo específicas.