Autentikasi Windows

Autentikasi Windows memverifikasi identitas pengguna sebelum memberikan akses. Dalam domain, proses ini terus berlangsung antara klien dan pengendali domain.

Dua protokol utamanya adalah NTLM (lebih lama, respons tantangan) dan Kerberos (modern, berbasis tiket). Keduanya sering menjadi sasaran.

Windows tidak pernah menyimpan kata sandi teks biasa untuk akun lokal; Windows menyimpan hash di basis data SAM. Format kuncinya adalah hash NT (MD4 dari kata sandi).

Jika penyerang membuang hash ini, mereka dapat memecahkannya secara luring atau langsung menggunakannya kembali.

NTLM melakukan autentikasi tanpa mengirimkan kata sandi:

• Server mengirimkan tantangan acak.
• Klien mengenkripsinya dengan hash NT lalu mengirimkan balasan.
• Server (atau DC) memverifikasi respons tersebut.

Protokol ini sudah lama, tetapi masih diaktifkan di banyak jaringan demi kompatibilitas.

Karena NTLM melakukan autentikasi menggunakan hash, bukan teks biasa, penyerang yang mencuri hash dapat melakukan autentikasi tanpa pernah memecahkannya.

Ini disebut Pass-the-Hash (PtH)—teknik pergerakan lateral yang ampuh terhadap NTLM.

Kerberos adalah protokol bawaan di Active Directory. Kerberos menggunakan Key Distribution Center (KDC) tepercaya pada pengendali domain dan tiket yang berlaku terbatas, bukan mengirimkan kredensial berulang kali.

Alur Kerberos:

• Pengguna melakukan autentikasi dan menerima Ticket Granting Ticket (TGT).
• Untuk menggunakan layanan, klien menyajikan TGT dan memperoleh Service Ticket (TGS).
• Layanan memvalidasi tiket tersebut—tidak ada kata sandi yang dikirimkan.

Kerberoasting meminta tiket layanan untuk akun yang menjalankan layanan (SPN). Tiket tersebut dienkripsi menggunakan hash kata sandi akun layanan.

Penyerang mengekstrak tiket tersebut lalu memecahkannya secara luring untuk mendapatkan kata sandi akun layanan.

Tiket Kerberos juga dapat dicuri dan digunakan kembali (Pass-the-Ticket). Yang lebih buruk, jika penyerang berhasil menguasai hash akun krbtgt, mereka dapat memalsukan Golden Ticket—TGT buatan sendiri yang memberikan akses ke seluruh domain.

Banyak serangan dimulai dengan ekstraksi kredensial dari host yang telah disusupi. Berbagai alat mengekstrak hash dan tiket dari memori lsass.exe atau hive SAM/SECURITY.

Mimikatz adalah alat yang paling dikenal; secretsdump merupakan alternatif jarak jauh yang umum digunakan.

Pihak yang bertahan mengurangi risiko ini dengan:

• Menonaktifkan NTLM jika memungkinkan.
• Mewajibkan kata sandi yang kuat dan panjang untuk akun layanan.
• Melindungi lsass (Credential Guard, PPL).
• Mengganti kunci krbtgt secara berkala dan membatasi penggunaan ulang akun administrator.

Anda dapat memeriksa konteks autentikasi saat ini dan tiket Kerberos yang tersimpan dari sebuah sesi.

Kenali serangan yang khusus menggunakan NTLM.

Anda telah mempelajari cara Windows melakukan autentikasi dan cara sistem tersebut diserang:

• Hash NT di dalam SAM memungkinkan pemecahan secara luring dan Pass-the-Hash.
• Kerberos menggunakan KDC, TGT, dan tiket layanan.
• Kerberoasting, Pass-the-Ticket, dan Golden Ticket menyalahgunakan Kerberos.
• Penguatan keamanan: menonaktifkan NTLM, melindungi lsass, dan menggunakan kata sandi layanan yang kuat.

Berikutnya: PowerShell ofensif.