Authentification Windows

L’authentification Windows vérifie l’identité d’un utilisateur avant d’autoriser l’accès. Dans les domaines, cela se produit constamment entre les clients et le contrôleur de domaine.

Les deux principaux protocoles sont NTLM (ancien, basé sur un défi-réponse) et Kerberos (moderne, basé sur des tickets). Tous deux sont des cibles fréquentes.

Windows ne stocke jamais les mots de passe en clair pour les comptes locaux ; il stocke des condensats dans la base de données SAM. Le format clé est le condensat NT (un MD4 du mot de passe).

Si un attaquant extrait ces condensats, il peut les casser hors ligne ou les réutiliser directement.

NTLM authentifie l’utilisateur sans envoyer le mot de passe :

• Le serveur envoie un défi aléatoire.
• Le client le chiffre avec le condensat NT et répond.
• Le serveur (ou le DC) vérifie la réponse.

Ce protocole est ancien, mais reste activé dans de nombreux réseaux pour des raisons de compatibilité.

Comme NTLM s’authentifie à l’aide du condensat plutôt que du mot de passe en clair, un attaquant qui vole un condensat peut s’authentifier sans jamais le casser.

C’est le Pass-the-Hash (PtH), une technique puissante de déplacement latéral contre NTLM.

Kerberos est le protocole par défaut dans Active Directory. Il utilise un centre de distribution de clés (KDC) de confiance sur le contrôleur de domaine et des tickets limités dans le temps au lieu d’envoyer les identifiants de façon répétée.

Fonctionnement de Kerberos :

• L’utilisateur s’authentifie et reçoit un Ticket Granting Ticket (TGT).
• Pour utiliser un service, le client présente le TGT et obtient un Service Ticket (TGS).
• Le service valide le ticket ; aucun mot de passe n’est envoyé.

Kerberoasting demande des tickets de service pour les comptes qui exécutent des services (SPN). Le ticket est chiffré avec le hachage du mot de passe du compte de service.

Un attaquant extrait le ticket et le casse hors ligne afin de récupérer le mot de passe du compte de service.

Les tickets Kerberos peuvent également être volés et réutilisés (Pass-the-Ticket). Plus grave encore, si un attaquant compromet le hachage du compte krbtgt, il peut forger un Golden Ticket : un TGT fabriqué de toutes pièces qui accorde un accès à l’ensemble du domaine.

De nombreuses attaques commencent par l’extraction d’identifiants depuis un hôte compromis. Des outils extraient les hachages et les tickets de la mémoire de lsass.exe ou des ruches SAM/SECURITY.

Mimikatz est l’outil le plus connu ; secretsdump constitue une solution distante courante.

Les défenseurs réduisent ces risques en :

• désactivant NTLM lorsque cela est possible ;
• imposant des mots de passe forts et longs pour les comptes de service ;
• protégeant lsass (Credential Guard, PPL) ;
• renouvelant la clé krbtgt et en limitant la réutilisation des comptes administrateur.

Vous pouvez examiner le contexte d’authentification actuel et les tickets Kerberos mis en cache depuis une session.

Vous avez appris comment Windows s’authentifie et fait l’objet d’attaques :

• Les hachages NT dans la SAM permettent le cassage hors ligne et le Pass-the-Hash.
• Kerberos utilise un KDC, des TGT et des tickets de service.
• Kerberoasting, Pass-the-Ticket et Golden Tickets exploitent Kerberos.
• Renforcement : désactiver NTLM, protéger lsass et utiliser des mots de passe de service forts.

Ensuite : PowerShell offensif.