Autenticazione di Windows

L’autenticazione di Windows verifica l’identità dell’utente prima di concedere l’accesso. Nei domini, questo avviene continuamente tra i client e il controller di dominio.

I due protocolli principali sono NTLM (più datato, basato su challenge-response) e Kerberos (moderno, basato su ticket). Entrambi sono sottoposti frequentemente ad attacchi.

Windows non memorizza mai le password in chiaro per gli account locali; conserva invece gli hash nel database SAM. Il formato principale è l'hash NT (un MD4 della password).

Se un attaccante estrae questi hash, può craccarli offline oppure riutilizzarli direttamente.

NTLM esegue l'autenticazione senza inviare la password:

• il server invia una challenge casuale;
• il client la cifra con l'hash NT e invia la risposta;
• il server (o il controller di dominio) verifica la risposta.

È un protocollo legacy, ma è ancora abilitato in molte reti per garantire la compatibilità.

Poiché NTLM esegue l'autenticazione usando l'hash invece della password in chiaro, un attaccante che sottrae un hash può autenticarsi senza doverlo mai craccare.

Questa tecnica è il Pass-the-Hash (PtH), una potente tecnica di movimento laterale contro NTLM.

Kerberos è il protocollo predefinito in Active Directory. Utilizza un Key Distribution Center (KDC) affidabile sul controller di dominio e ticket a durata limitata, invece di inviare ripetutamente le credenziali.

Flusso di Kerberos:

• l'utente esegue l'autenticazione e riceve un Ticket Granting Ticket (TGT);
• per utilizzare un servizio, il client presenta il TGT e riceve un Service Ticket (TGS);
• il servizio convalida il ticket: non viene inviata alcuna password.

Kerberoasting richiede ticket di servizio per gli account che eseguono servizi (SPN). Il ticket è crittografato con l'hash della password dell'account di servizio.

L'attaccante estrae il ticket e lo sottopone a cracking offline per recuperare la password dell'account di servizio.

I ticket Kerberos possono anche essere sottratti e riutilizzati (Pass-the-Ticket). Peggio ancora, se un attaccante compromette l'hash dell'account krbtgt, può falsificare un Golden Ticket — un TGT creato autonomamente che garantisce l'accesso all'intero dominio.

Molti attacchi iniziano con l'estrazione delle credenziali da un host compromesso. Gli strumenti estraggono hash e ticket dalla memoria di lsass.exe o dagli hive SAM/SECURITY.

Mimikatz è lo strumento più noto; secretsdump è una comune alternativa remota.

I difensori riducono questi rischi:

• Disabilitando NTLM dove possibile.
• Imponendo password robuste e lunghe per gli account di servizio.
• Proteggendo lsass (Credential Guard, PPL).
• Ruotando la chiave di krbtgt e limitando il riutilizzo degli account amministrativi.

È possibile ispezionare il contesto di autenticazione corrente e i ticket Kerberos memorizzati nella cache di una sessione.

Riconosca l'attacco specifico di NTLM.

Ha imparato come Windows esegue l'autenticazione e come viene attaccato:

• Gli hash NT nel SAM consentono il cracking offline e il Pass-the-Hash.
• Kerberos utilizza un KDC, i TGT e i ticket di servizio.
• Kerberoasting, Pass-the-Ticket e Golden Ticket sfruttano Kerberos.
• Rafforzamento: disabilitare NTLM, proteggere lsass e usare password robuste per i servizi.

Avanti: PowerShell offensivo.