Uwierzytelnianie Windows: NTLM i Kerberos

System Windows używa dwóch głównych protokołów uwierzytelniania: NTLM (starszy, typu challenge-response) oraz Kerberos (nowoczesny, oparty na biletach). Zrozumienie obu jest niezbędne do atakowania i ochrony Active Directory.

NTLM działa w trzech komunikatach: Negotiate, Challenge i Authenticate. Klient haszuje hasło użytkownika wraz z losowym wyzwaniem serwera. Przesyłany jest skrót — nie hasło w postaci jawnej.

Ponieważ NTLM uwierzytelnia za pomocą skrótu, kradzież skrótu pozwala uwierzytelnić się bez znajomości hasła w postaci jawnej. Na tym opierają się ataki Pass-the-Hash — skrót JEST poświadczeniem.

Kerberos korzysta z zaufanej strony trzeciej (KDC — Key Distribution Center), która wydaje bilety. Zapewnia wzajemne uwierzytelnianie i po początkowym wydaniu TGT eliminuje konieczność przesyłania poświadczeń przez sieć.

1. Klient wysyła do AS żądanie AS-REQ (zaszyfrowane skrótem hasła). 2. AS zwraca TGT zaszyfrowany kluczem krbtgt. 3. Klient przedstawia TGT serwerowi TGS, żądając biletu usługi. 4. Klient przedstawia bilet usługi docelowej usłudze.

TGT (bilet przyznawania biletów): potwierdza tożsamość w KDC i jest ważny przez około 10 godzin. Bilet usługi: zapewnia dostęp do określonej usługi. Oba bilety są szyfrowane kluczami, których klient nie może odczytać.

Kerberos jest preferowany: obsługuje wzajemne uwierzytelnianie, nie przesyła danych w postaci jawnej i jest trudniejszy do wykorzystania w atakach typu relay. NTLM jest używany awaryjnie, gdy Kerberos zawiedzie (np. przy dostępie za pomocą adresu IP lub do hostów spoza domeny) — napastnicy wymuszają przełączenie na NTLM, aby przechwycić skróty.

NTLM relay polega na przechwyceniu próby uwierzytelniania NTLM i przekazaniu jej do innej usługi, co umożliwia uwierzytelnienie jako ofiara bez znajomości jej hasła. Responder przechwytuje dane, a ntlmrelayx przekazuje je dalej.

Wstępne uwierzytelnianie wymaga, aby klient zaszyfrował znacznik czasu swoim skrótem hasła przed otrzymaniem TGT. Konta, dla których wstępne uwierzytelnianie nie jest wymagane, są podatne na AS-REP Roasting — ich TGT można pobrać i łamać offline.

Złoty bilet: sfałszowany TGT podpisany skrótem krbtgt — zapewnia dostęp do wszystkiego. Srebrny bilet: sfałszowany bilet usługi dla określonej usługi — jest trudniejszy do wykrycia i nie komunikuje się z KDC.

Wyłącz NTLM wszędzie, gdzie to możliwe, wymuś podpisywanie SMB, aby zapobiegać atakom relay, wymagaj wstępnego uwierzytelniania na wszystkich kontach, monitoruj nietypowe żądania biletów (identyfikatory zdarzeń 4768 i 4769) oraz chroń konto krbtgt.

NTLM uwierzytelnia za pomocą mechanizmu wyzwanie–odpowiedź wykorzystującego skrót — jest podatny na ataki relay i pass-the-hash. Kerberos używa biletów wydawanych przez zaufany KDC — jest bezpieczniejszy, ale podatny na Kerberoasting, AS-REP Roasting oraz ataki z użyciem złotych i srebrnych biletów po przejęciu KDC. Znajomość obu protokołów pozwala zrozumieć ścieżki ataków w Active Directory i zastosować odpowiednie mechanizmy wzmacniania zabezpieczeń.