Integrasi Active Directory dan Kerberos

Microsoft Active Directory menerapkan Kerberos 5 sebagai protokol autentikasi utamanya. Setiap pengontrol domain Windows menjalankan layanan KDC, yang mencakup Layanan Autentikasi dan Layanan Pemberian Tiket. Nama domain dipetakan langsung ke nama ranah Kerberos, dan akun domain berhubungan dengan prinsipal Kerberos.

Dalam domain Active Directory, setiap pengontrol domain dapat berfungsi sebagai KDC, dengan replikasi yang memastikan informasi prinsipal tetap konsisten di semua pengontrol domain. Akun krbtgt, yang hash kata sandinya merupakan rahasia utama untuk enkripsi TGT, ada di setiap domain. Keamanannya sangat penting: penyusupan akun ini memungkinkan pemalsuan TGT untuk prinsipal mana pun.

Saat pengguna menetapkan kata sandi Active Directory, Windows menurunkan kunci jangka panjang Kerberos dari kata sandi tersebut menggunakan fungsi derivasi kunci. Kunci ini disimpan dalam basis data AD bersama hash NTLM. Selama praautentikasi Kerberos, klien membuktikan bahwa dirinya mengetahui kunci ini tanpa mengirimkannya.

NTLM (NT LAN Manager) adalah protokol autentikasi lama di lingkungan Windows. Windows beralih ke NTLM saat Kerberos tidak tersedia, misalnya ketika mengakses sumber daya berdasarkan alamat IP alih-alih nama host, saat target belum bergabung ke domain, atau saat nama prinsipal layanan (SPN) belum didaftarkan dengan benar.

Nama Prinsipal Layanan (SPN) adalah pengenal unik untuk instans layanan di Active Directory. Format: ServiceClass/FQDN:Port. Contoh: HTTP/webserver.corp.example.com:443. Kerberos menggunakan SPN untuk mencari kunci akun layanan yang benar guna mengenkripsi tiket layanan. SPN yang salah konfigurasi atau tidak ada menyebabkan Kerberos beralih ke NTLM.

Windows menggunakan SPNEGO (Mekanisme Negosiasi GSSAPI yang Sederhana dan Terlindungi) untuk bernegosiasi antara Kerberos dan NTLM secara transparan. Saat klien terhubung ke server IIS, server mengumumkan dukungan SPNEGO, klien mencoba Kerberos terlebih dahulu, lalu beralih ke NTLM jika Kerberos gagal. Negosiasi ini tidak terlihat oleh pengguna.

Perilaku Kerberos di Active Directory dikonfigurasi melalui Kebijakan Grup dalam Kebijakan Domain Default. Pengaturannya mencakup masa berlaku tiket maksimum (default 10 jam), masa berlaku TGT maksimum (default 7 hari), perbedaan waktu jam maksimum (default 5 menit), serta penerapan praautentikasi. Pengaturan ini berlaku di seluruh domain untuk semua akun.

PKINIT (Kriptografi Kunci Publik untuk Autentikasi Awal) adalah ekstensi Kerberos yang memungkinkan penggunaan sertifikat X.509 (yang disimpan pada kartu pintar atau kartu pintar virtual) untuk praautentikasi AS-REQ, bukan kunci yang diturunkan dari kata sandi. Kunci pribadi menandatangani AS-REQ, sehingga memungkinkan autentikasi Kerberos tanpa kata sandi yang didukung perangkat keras.

MS-KKDCP (Protokol Proksi KDC Kerberos Microsoft) memungkinkan lalu lintas autentikasi Kerberos ditunnelkan melalui HTTPS, sehingga perangkat yang bergabung ke domain dan berada di luar jaringan perusahaan dapat melakukan autentikasi melalui Kerberos tanpa koneksi VPN langsung ke pengontrol domain. Fitur ini digunakan dalam DirectAccess dan beberapa skenario Azure AD.

Azure AD tidak menjalankan Kerberos secara bawaan, tetapi Azure AD Kerberos memungkinkan pengguna yang dikelola di cloud memperoleh tiket Kerberos untuk sumber daya lokal. Azure AD Connect Cloud Sync dan layanan Azure AD Kerberos menjembatani kesenjangan tersebut, sehingga organisasi yang mengutamakan cloud tetap dapat mengakses sumber daya lokal yang dilindungi Kerberos.

Penguatan Kerberos (FAST - Penyaluran Aman Autentikasi Fleksibel) melindungi pertukaran praautentikasi dengan menyalurkannya di dalam TGT dari akun mesin tepercaya. Ini mencegah serangan kamus luring terhadap data AS-REQ, yang sangat penting khususnya untuk akun tanpa persyaratan praautentikasi.

Active Directory menerapkan Kerberos 5 pada pengendali domain. Kata sandi pengguna menghasilkan kunci jangka panjang Kerberos yang disimpan di AD. SPNs memetakan layanan ke akun untuk enkripsi tiket. NTLM menjadi pilihan cadangan saat Kerberos gagal. PKINIT mengaktifkan autentikasi kartu pintar. Akun krbtgt adalah akar kepercayaan domain: komprominya memungkinkan pemalsuan Tiket Emas.