Authentification Windows : NTLM et Kerberos

Windows utilise deux principaux protocoles d'authentification  : NTLM (ancien, fondé sur un défi-réponse) et Kerberos (moderne, fondé sur des tickets). Comprendre les deux est essentiel pour l'attaque et la défense d'Active Directory.

NTLM fonctionne en trois messages  : Negotiate, Challenge, Authenticate. Le client hache le mot de passe de l'utilisateur avec le défi aléatoire du serveur. Le hachage — et non le texte en clair — est transmis.

Comme NTLM s'authentifie avec un hachage, le vol d'un hachage permet de s'authentifier sans connaître le mot de passe en clair. C'est le principe des attaques Pass-the-Hash  : le hachage IS l'identifiant.

Kerberos utilise un tiers de confiance (KDC — Centre de distribution des clés) pour émettre des tickets. Il fournit une authentification mutuelle et évite de transmettre des identifiants sur le réseau après l'émission initiale du TGT.

1. Le client envoie une requête AS-REQ (chiffrée avec le hachage du mot de passe) à l’AS. 2. L’AS renvoie un TGT chiffré avec la clé de krbtgt. 3. Le client présente le TGT au TGS pour demander un ticket de service. 4. Le client présente le ticket de service au service cible.

TGT (ticket d’octroi de tickets) : prouve l’identité auprès du KDC et reste valide pendant environ 10 heures. Ticket de service : accorde l’accès à un service précis. Tous deux sont chiffrés avec des clés que le client ne peut pas lire.

Kerberos est privilégié : il prend en charge l’authentification mutuelle, évite les transmissions en clair et est plus difficile à relayer. NTLM est utilisé en solution de repli lorsque Kerberos échoue (par exemple, lors d’un accès par adresse IP ou depuis des hôtes qui ne sont pas membres du domaine) — les attaquants forcent cette solution de repli pour capturer les hachages.

Un relais NTLM intercepte une tentative d’authentification NTLM et la relaie vers un autre service, ce qui permet de s’authentifier en tant que victime sans connaître son mot de passe. Responder capture l’authentification et ntlmrelayx la relaie.

La pré-authentification exige que le client chiffre un horodatage avec le hachage de son mot de passe avant de recevoir un TGT. Les comptes pour lesquels la pré-authentification n’est pas requise sont vulnérables à l’AS-REP Roasting : leur TGT peut être demandé puis craqué hors ligne.

Ticket doré : TGT forgé et signé avec le hachage de krbtgt — il accorde l’accès à tout. Ticket argenté : ticket de service forgé pour un service précis — il est plus discret et n’interagit pas avec le KDC.

Désactivez NTLM lorsque c’est possible, imposez la signature SMB pour empêcher les relais, exigez la pré-authentification pour tous les comptes, surveillez les demandes de tickets inhabituelles (ID d’événement 4768 et 4769) et protégez le compte krbtgt.

Que permet le TGT Kerberos ?

NTLM s’authentifie par défi-réponse fondé sur un hachage — il est vulnérable aux relais et au pass-the-hash. Kerberos utilise des tickets délivrés par un KDC de confiance — il est plus robuste, mais vulnérable au Kerberoasting, à l’AS-REP Roasting et aux attaques par tickets dorés ou argentés lorsque le KDC est compromis. Vous devez connaître les deux protocoles pour comprendre les chemins d’attaque dans Active Directory et appliquer un renforcement ciblé.