Integrazione di Active Directory e Kerberos

Microsoft Active Directory implementa Kerberos 5 come protocollo di autenticazione principale. Ogni controller di dominio Windows esegue il servizio KDC, che include sia l'Authentication Service sia il Ticket Granting Service. Il nome del dominio corrisponde direttamente al nome del realm Kerberos e gli account di dominio corrispondono ai principal Kerberos.

In un dominio Active Directory, ogni controller di dominio può svolgere il ruolo di KDC; la replica garantisce informazioni coerenti sui principal in tutti i DC. L'account krbtgt, il cui hash della password è il segreto principale per la crittografia dei TGT, esiste in ogni dominio. La sua sicurezza è fondamentale: una compromissione consente di falsificare TGT per qualunque principal.

Quando un utente imposta la propria password di Active Directory, Windows deriva dalla password una chiave Kerberos a lungo termine usando una funzione di derivazione della chiave. Questa chiave viene memorizzata nel database AD insieme all'hash NTLM. Durante la pre-autenticazione Kerberos, il client dimostra di conoscere questa chiave senza trasmetterla.

NTLM (NT LAN Manager) è il protocollo di autenticazione legacy degli ambienti Windows. Windows usa NTLM come fallback quando Kerberos non è disponibile, ad esempio quando si accede a una risorsa tramite indirizzo IP invece che tramite nome host, quando la destinazione non è aggiunta al dominio o quando un service principal name (SPN) non è registrato correttamente.

I Service Principal Name (SPN) sono identificatori univoci per le istanze dei servizi in Active Directory. Formato: ServiceClass/FQDN:Port. Ad esempio, HTTP/webserver.corp.example.com:443. Kerberos usa lo SPN per cercare la chiave dell'account di servizio corretta con cui crittografare il ticket di servizio. SPN configurati in modo errato o mancanti fanno sì che Kerberos ricorra a NTLM.

Windows usa SPNEGO (Simple and Protected GSSAPI Negotiation Mechanism) per negoziare in modo trasparente tra Kerberos e NTLM. Quando un client si connette a un server IIS, il server annuncia il supporto per SPNEGO, il client tenta prima Kerberos e ricorre a NTLM se Kerberos non funziona. Questa negoziazione è invisibile agli utenti.

Il comportamento di Kerberos in Active Directory viene configurato tramite i Criteri di gruppo nel Default Domain Policy. Le impostazioni includono la durata massima dei ticket (predefinita: 10 ore), la durata massima dei TGT (predefinita: 7 giorni), la differenza massima consentita tra gli orologi (predefinita: 5 minuti) e l'imposizione della pre-autenticazione. Queste impostazioni si applicano a tutto il dominio e a tutti gli account.

PKINIT (Public Key Cryptography for Initial Authentication) è un'estensione di Kerberos che consente di usare certificati X.509 (memorizzati su smart card o smart card virtuali) per la pre-autenticazione AS-REQ al posto di una chiave derivata dalla password. La chiave privata firma l'AS-REQ, abilitando un'autenticazione Kerberos senza password e supportata dall'hardware.

MS-KKDCP (Microsoft Kerberos KDC Proxy Protocol) consente di incanalare il traffico di autenticazione Kerberos tramite HTTPS, permettendo ai dispositivi aggiunti al dominio che si trovano al di fuori della rete aziendale di autenticarsi tramite Kerberos senza una connessione VPN diretta a un controller di dominio. Viene usato in DirectAccess e in alcuni scenari Azure AD.

Azure AD non esegue nativamente Kerberos, ma Azure AD Kerberos consente agli utenti gestiti nel cloud di ottenere ticket Kerberos per le risorse on-premises. Azure AD Connect Cloud Sync e il servizio Azure AD Kerberos colmano questa lacuna, permettendo alle organizzazioni orientate innanzitutto al cloud di mantenere l'accesso alle risorse on-premises protette da Kerberos.

Il Kerberos armoring (FAST - Flexible Authentication Secure Tunneling) protegge lo scambio di preautenticazione incapsulandolo in un TGT proveniente da un account computer attendibile. In questo modo impedisce gli attacchi a dizionario offline ai dati AS-REQ, aspetto particolarmente importante per gli account che non richiedono la preautenticazione.

In Active Directory, che cosa rappresenta l'account krbtgt e perché la sua sicurezza è fondamentale?

Active Directory implementa Kerberos 5 nei controller di dominio. Le password degli utenti vengono utilizzate per derivare le chiavi a lungo termine di Kerberos archiviate in AD. Gli SPN associano i servizi agli account per la cifratura dei ticket. NTLM è il meccanismo di fallback quando Kerberos non funziona. PKINIT abilita l'autenticazione tramite smart card. L'account krbtgt è la root of trust del dominio: la sua compromissione consente di falsificare i Golden Ticket.