Autentikasi Windows: NTLM dan Kerberos

Windows menggunakan dua protokol autentikasi utama: NTLM (lebih lama, respons tantangan) dan Kerberos (modern, berbasis tiket). Memahami keduanya penting untuk serangan dan pertahanan Active Directory.

NTLM bekerja dalam tiga pesan: Negotiate, Challenge, Authenticate. Klien menghasilkan hash kata sandi pengguna menggunakan tantangan acak dari server. Hash tersebut—bukan teks biasa—yang dikirimkan.

Karena NTLM melakukan autentikasi menggunakan hash, pencurian hash memungkinkan Anda melakukan autentikasi tanpa mengetahui kata sandi dalam bentuk teks biasa. Inilah inti serangan Pass-the-Hash—hash tersebut IS kredensialnya.

Kerberos menggunakan pihak ketiga tepercaya (KDC—Pusat Distribusi Kunci) untuk menerbitkan tiket. Protokol ini menyediakan autentikasi timbal balik dan menghindari pengiriman kredensial melalui jaringan setelah penerbitan awal TGT.

1. Klien mengirim AS-REQ (dienkripsi dengan hash kata sandi) ke AS. 2. AS mengembalikan TGT yang dienkripsi dengan kunci krbtgt. 3. Klien memberikan TGT kepada TGS untuk meminta tiket layanan. 4. Klien memberikan tiket layanan kepada layanan tujuan.

TGT (Tiket Pemberian Tiket): membuktikan identitas kepada KDC dan berlaku sekitar 10 jam. Tiket Layanan: memberikan akses ke layanan tertentu. Keduanya dienkripsi dengan kunci yang tidak dapat dibaca oleh klien.

Kerberos lebih disarankan: mendukung autentikasi timbal balik, menghindari transmisi teks biasa, dan lebih sulit diteruskan. NTLM digunakan sebagai cadangan ketika Kerberos gagal, misalnya saat mengakses alamat IP atau host non-domain — penyerang memaksa penggunaan cadangan NTLM untuk menangkap hash.

Penerusan NTLM mencegat upaya autentikasi NTLM dan meneruskannya ke layanan lain, sehingga penyerang dapat mengautentikasi sebagai korban tanpa mengetahui kata sandinya. Responder menangkapnya, sedangkan ntlmrelayx meneruskannya.

Prapaentikasi mengharuskan klien mengenkripsi stempel waktu dengan hash kata sandinya sebelum menerima TGT. Akun yang tidak mewajibkan prapaentikasi rentan terhadap AS-REP Roasting — TGT-nya dapat diminta dan dipecahkan tanpa koneksi.

Tiket emas: TGT palsu yang ditandatangani dengan hash krbtgt — memberikan akses ke segala sesuatu. Tiket perak: tiket layanan palsu untuk layanan tertentu — lebih sulit dideteksi dan tidak berhubungan dengan KDC.

Nonaktifkan NTLM jika memungkinkan, wajibkan penandatanganan SMB untuk mencegah penerusan, wajibkan prapaentikasi pada semua akun, pantau permintaan tiket yang tidak lazim (ID Peristiwa 4768, 4769), dan lindungi akun krbtgt.

NTLM melakukan autentikasi melalui tantangan-tanggapan berbasis hash — rentan terhadap penerusan dan pass-the-hash. Kerberos menggunakan tiket yang diterbitkan oleh KDC tepercaya — lebih kuat, tetapi rentan terhadap Kerberoasting, AS-REP Roasting, serta serangan tiket emas dan perak ketika KDC disusupi. Pahami kedua protokol tersebut untuk memahami jalur serangan Active Directory dan menerapkan penguatan yang tepat sasaran.