Аутентификация Windows: NTLM и Kerberos

Windows использует два основных протокола аутентификации: NTLM (устаревший, на основе запроса-ответа) и Kerberos (современный, на основе билетов). Понимание обоих протоколов необходимо для атак и защиты Active Directory.

NTLM работает в три этапа: согласование, запрос и аутентификация. Клиент хеширует пароль пользователя вместе со случайным запросом сервера. Передаётся хеш, а не открытый текст.

Поскольку NTLM выполняет аутентификацию с помощью хеша, кража хеша позволяет пройти аутентификацию без знания открытого пароля. Это основа атак с передачей хеша — хеш IS учётные данные.

Kerberos использует доверенную третью сторону — KDC (центр распределения ключей) — для выдачи билетов. Он обеспечивает взаимную аутентификацию и после первоначальной выдачи TGT не передаёт учётные данные по сети.

1. Клиент отправляет AS-REQ (зашифрованный хешем пароля) в AS. 2. AS возвращает TGT, зашифрованный ключом krbtgt. 3. Клиент предъявляет TGT в TGS, запрашивая сервисный билет. 4. Клиент предъявляет сервисный билет целевой службе.

TGT (билет для выдачи билетов): подтверждает личность в KDC и действителен около 10 часов. Сервисный билет: предоставляет доступ к конкретной службе. Оба билета зашифрованы ключами, которые клиент не может прочитать.

Kerberos предпочтительнее: поддерживает взаимную аутентификацию, не допускает передачу данных в открытом виде и лучше защищен от ретрансляции. При сбое Kerberos используется резервный переход на NTLM (например, при доступе по IP-адресу или к узлам не в домене) — злоумышленники принудительно переключают систему на NTLM, чтобы перехватить хеши.

Атака с ретрансляцией NTLM перехватывает попытку аутентификации NTLM и ретранслирует ее в другую службу, выполняя аутентификацию от имени жертвы, не зная ее пароля. Responder перехватывает данные, а ntlmrelayx ретранслирует их.

Предварительная аутентификация требует, чтобы клиент зашифровал метку времени хешем своего пароля, прежде чем получить TGT. Учетные записи, для которых предварительная аутентификация не требуется, уязвимы для атак с перебором AS-REP — их TGT можно запросить и взломать автономно.

Золотой билет: поддельный TGT, подписанный хешем krbtgt, — предоставляет доступ ко всему. Серебряный билет: поддельный сервисный билет для конкретной службы — менее заметен и не обращается к KDC.

Отключите NTLM, где это возможно, включите обязательную подпись SMB для предотвращения ретрансляции, включите предварительную аутентификацию для всех учетных записей, отслеживайте необычные запросы билетов (события ID 4768 и 4769) и защищайте учетную запись krbtgt.

NTLM выполняет аутентификацию с помощью проверки ответа на запрос по хешу и уязвим для ретрансляции и атак с передачей хеша. Kerberos использует билеты, выданные доверенным KDC, и обеспечивает более надежную защиту, но уязвим для керберостинга, атак с перебором AS-REP и атак с поддельными золотыми и серебряными билетами при компрометации KDC. Знание обоих протоколов помогает понимать пути атак в Active Directory и применять целенаправленные меры защиты.