Uwierzytelnianie w Windows

Uwierzytelnianie Windows sprawdza tożsamość użytkownika przed przyznaniem dostępu. W domenach odbywa się to nieustannie między klientami a kontrolerem domeny.

Dwa główne protokoły to NTLM (starszy, typu challenge-response) i Kerberos (nowoczesny, oparty na biletach). Oba są częstym celem ataków.

Windows nie przechowuje haseł lokalnych kont w postaci jawnego tekstu; przechowuje ich skróty w bazie danych SAM. Kluczowym formatem jest skrót NT (MD4 hasła).

Jeśli atakujący zrzuci te skróty, może złamać je offline lub bezpośrednio ich użyć ponownie.

NTLM uwierzytelnia bez wysyłania hasła:

• Serwer wysyła losowe wyzwanie.
• Klient szyfruje je za pomocą skrótu NT i odsyła odpowiedź.
• Serwer (lub kontroler domeny) weryfikuje odpowiedź.

Jest to rozwiązanie starszego typu, ale nadal włączone w wielu sieciach ze względu na zgodność.

Ponieważ NTLM uwierzytelnia za pomocą skrótu, a nie hasła w postaci jawnego tekstu, atakujący, który ukradnie skrót, może się uwierzytelnić bez jego łamania.

To technika Pass-the-Hash (PtH) — skuteczna technika poruszania się poprzecznego przeciwko NTLM.

Kerberos jest domyślnym protokołem w Active Directory. Korzysta z zaufanego Key Distribution Center (KDC) na kontrolerze domeny oraz ograniczonych czasowo biletów zamiast wielokrotnego przesyłania danych uwierzytelniających.

Przebieg uwierzytelniania Kerberos:

• Użytkownik uwierzytelnia się i otrzymuje Ticket Granting Ticket (TGT).
• Aby skorzystać z usługi, klient przedstawia TGT i otrzymuje Service Ticket (TGS).
• Usługa weryfikuje bilet — hasło nie jest wysyłane.

Kerberoasting żąda biletów usług dla kont uruchamiających usługi (SPN). Bilet jest szyfrowany skrótem hasła konta usługi.

Atakujący wyodrębnia bilet i łamie go offline, aby odzyskać hasło konta usługi.

Bilety Kerberos można również wykraść i ponownie wykorzystać (Pass-the-Ticket). Co gorsza, jeśli atakujący przejmie skrót konta krbtgt, może sfałszować Golden Ticket — samodzielnie utworzony TGT zapewniający dostęp w całej domenie.

Wiele ataków zaczyna się od wyodrębnienia danych uwierzytelniających z przejętego hosta. Narzędzia zrzucają skróty i bilety z pamięci procesu lsass.exe albo z gałęzi SAM/SECURITY.

Mimikatz to najbardziej znane narzędzie; secretsdump jest popularną alternatywą do działań zdalnych.

Obrońcy ograniczają te zagrożenia poprzez:

• Wyłączanie NTLM, gdy jest to możliwe.
• Wymuszanie stosowania silnych i długich haseł dla kont usług.
• Ochronę procesu lsass (Credential Guard, PPL).
• Rotację klucza krbtgt i ograniczanie ponownego użycia kont administratorów.

Z poziomu sesji można sprawdzić bieżący kontekst uwierzytelniania oraz zapisane w pamięci podręcznej bilety Kerberos.

Rozpoznaj atak charakterystyczny dla NTLM.

Dowiedział się Pan, jak system Windows uwierzytelnia użytkowników i jak jest atakowany:

• Skróty NT w SAM umożliwiają łamanie offline oraz atak Pass-the-Hash.
• Kerberos korzysta z KDC, TGT i biletów usług.
• Kerberoasting, Pass-the-Ticket i Golden Tickets wykorzystują słabości Kerberos.
• Wzmacnianie zabezpieczeń: wyłączenie NTLM, ochrona lsass i silne hasła usług.

Następnie: ofensywny PowerShell.