Autenticação do Windows: NTLM e Kerberos

O Windows usa dois protocolos principais de autenticação: NTLM (mais antigo, baseado em desafio e resposta) e Kerberos (moderno, baseado em tickets). Entender ambos é essencial para atacar e defender o Active Directory.

O NTLM funciona com três mensagens: Negotiate, Challenge e Authenticate. O cliente gera o hash da senha do usuário com o desafio aleatório do servidor. O hash — não o texto simples — é transmitido.

Como o NTLM autentica usando um hash, roubar um hash permite autenticar sem conhecer a senha em texto simples. Esse é o núcleo dos ataques Pass-the-Hash: o hash IS a credencial.

O Kerberos usa uma terceira parte confiável (KDC — Centro de Distribuição de Chaves) para emitir tickets. Ele fornece autenticação mútua e evita a transmissão de credenciais pela rede após a emissão inicial do TGT.

1. O cliente envia AS-REQ (criptografado com o hash da senha) ao AS. 2. O AS devolve um TGT criptografado com a chave krbtgt. 3. O cliente apresenta o TGT ao TGS, solicitando um tíquete de serviço. 4. O cliente apresenta o tíquete de serviço ao serviço de destino.

TGT (tíquete de concessão de tíquete): comprova a identidade junto ao KDC e é válido por aproximadamente 10 horas. Tíquete de serviço: concede acesso a um serviço específico. Ambos são criptografados com chaves que o cliente não consegue ler.

O Kerberos é preferível: oferece autenticação mútua, evita a transmissão de texto sem criptografia e é mais difícil de retransmitir. O NTLM é usado como alternativa quando o Kerberos falha, por exemplo, ao acessar um endereço IP ou máquinas que não pertencem ao domínio — os invasores forçam essa alternativa para capturar hashes.

A retransmissão de NTLM intercepta uma tentativa de autenticação NTLM e a retransmite para outro serviço, autenticando-se como a vítima sem saber a senha dela. O Responder captura e o ntlmrelayx retransmite.

A pré-autenticação exige que o cliente criptografe uma marca de tempo com o hash da senha antes de receber um TGT. As contas para as quais a pré-autenticação não é exigida são vulneráveis ao ataque de quebra de AS-REP — o TGT delas pode ser solicitado e quebrado off-line.

Tíquete dourado: TGT forjado e assinado com o hash de krbtgt — concede acesso a tudo. Tíquete prateado: tíquete de serviço forjado para um serviço específico — é mais discreto e não entra em contato com o KDC.

Desative o NTLM sempre que possível, exija a assinatura SMB para impedir retransmissões, exija pré-autenticação em todas as contas, monitore solicitações incomuns de tíquetes (ID de evento 4768, 4769) e proteja a conta krbtgt.

O NTLM autentica por meio de um desafio-resposta baseado em hash — e é vulnerável a retransmissões e ao uso direto do hash. O Kerberos usa tíquetes emitidos por um KDC confiável — é mais seguro, mas fica vulnerável a ataques de quebra de tíquetes Kerberos, quebra de AS-REP e ataques com tíquetes dourados ou prateados quando o KDC é comprometido. Conheça os dois protocolos para entender os caminhos de ataque ao Active Directory e aplicar medidas de fortalecimento direcionadas.