Kerberos ve Kerberoasting

Kerberos, bilet tabanlı bir kimlik doğrulama protokolüdür. İstemciler parola göndermek yerine, her Etki Alanı Denetleyicisi üzerinde çalışan Anahtar Dağıtım Merkezi (KDC) tarafından verilen kriptografik biletleri sunar.

• Kimlik Doğrulama Sunucusu (AS) bir Bilet Verme Bileti (TGT) verir.
• Bilet Verme Sunucusu (TGS) hizmet biletleri verir.
• Hizmetler, DC ile iletişim kurmadan biletleri doğrular.

Kerberos'ta üç ileti alışverişi vardır. Bunları anlamak, saldırıların nereye oturduğunu gösterir.

• AS-REQ / AS-REP: İstemci kimliğini kanıtlar (ön kimlik doğrulama) ve krbtgt anahtarıyla şifrelenmiş bir TGT alır.
• TGS-REQ / TGS-REP: İstemci, bir hizmet bileti (TGS) istemek için TGT'yi sunar.
• AP-REQ / AP-REP: İstemci, TGS'yi hizmete sunar.

AS-REP kırma ilk iletişim aşamasını, Kerberoasting ise ikinci aşamayı hedef alır.

Bir Hizmet Sorumlusu Adı (SPN), bir hizmet örneğini onu çalıştıran hesaba eşler. Bir SPN için TGS istediğinizde, ortaya çıkan bilet kısmen hizmet hesabının parola karmasıyla şifrelenir.

Kerberoasting'in temeli budur: kimliği doğrulanmış herhangi bir kullanıcı hizmet hesapları için bilet isteyebilir, ardından bu biletleri çevrimdışı kırarak açık metin parolayı elde edebilir.

Kerberoasting düşük iz bırakır; çünkü TGS istemek normal bir davranıştır. Saldırı adımları şunlardır:

• SPN'lere sahip kullanıcı hesaplarını keşfedin.
• Bu SPN'ler için TGS biletleri isteyin.
• Şifrelenmiş bilet veri bloklarını çıkarın.
• Bunları bir kelime listesiyle çevrimdışı kırın; kırma sırasında DC ile etkileşim gerekmez.

Ele geçirilen bilet, hizmet hesabının parolasını anahtar olarak kullanır. Çevrimdışı kırma işlemi, bileti doğru şekilde çözen bir parola bulunana kadar aday parolaları dener.

Hizmet hesaplarında çoğunlukla zayıf ve hiç değiştirilmemiş parolalar bulunur; bu nedenle hızlıca kırılabilirler.

Bilette kullanılan şifreleme algoritması, kırma hızını etkiler.

• RC4 (etype 23) hızlı kırılır ve hâlâ izin veriliyorsa ciddi bir uyarı işaretidir.
• AES (etype 17/18) kaba kuvvetle çok daha yavaş kırılır.
• Saldırganlar, /tgtdeleg veya msDS-SupportedEncryptionTypes kötüye kullanımıyla istekleri RC4'e düşürebilir.

Savunucular RC4'ü etki alanı genelinde devre dışı bırakmalı ve AES'i zorunlu tutmalıdır.

İlişkili bir saldırı, Kerberos ön kimlik doğrulaması devre dışı olan hesapları hedef alır (DONT_REQ_PREAUTH). Ön kimlik doğrulama olmadan AS-REP, kullanıcının parola karmasıyla şifrelenmiş veriler içerir; bu veriler herhangi bir kimlik bilgisi olmadan elde edilebilir.

Kerberoasting'in başarılı olmasının nedeni protokol kusurları değil, yapısal zayıflıklardır.

• Kimliği doğrulanmış herhangi bir güvenlik sorumlusu, tasarım gereği herhangi bir hizmet bileti isteyebilir.
• Hizmet hesapları çoğunlukla zayıf bir parolayla bir kez oluşturulur ve parola bir daha değiştirilmez.
• Birçoğu yüksek ayrıcalıklarla çalışır (örneğin Etki Alanı Yöneticileri grubundaki SQL hizmet hesapları).
• Kırma işlemi tamamen çevrimdışı gerçekleştiğinden hesap kilitleme hiçbir zaman tetiklenmez.

Savunucular, TGS isteklerine ilişkin telemetri üzerinden bilet kırma saldırılarını yakalayabilir.

• RC4 (0x17) bilet istekleri için 4769 olayını izleyin; özellikle tek bir hesaptan gelen ani yoğun istekleri inceleyin.
• Tek bir güvenlik sorumlusunun kısa sürede çok sayıda farklı SPN istemesi durumunda uyarı oluşturun.
• Hiçbir meşru hizmetin kullanmadığı tuzak SPN hesapları dağıtın; bu hesaplara yapılan her istek kötü niyetlidir.

Kalıcı çözüm, biletlerin kırılabilir olmasını sağlayan koşulları ortadan kaldırmaktır.

• Grup Tarafından Yönetilen Hizmet Hesaplarını (gMSA) 120'den fazla karakter içeren ve otomatik olarak değiştirilen parolalarla kullanın.
• Kalan klasik hizmet hesaplarında uzun ve karmaşık parolaları zorunlu tutun.
• RC4'ü devre dışı bırakın; AES şifreleme türlerini zorunlu tutun.
• Gereksiz SPN'leri kaldırın ve hesaplara en az ayrıcalık ilkesini uygulayın.

Yetkili güvenlik değerlendirmesi sırasında biletleri yalıtılmış bir ortamda kırın ve düz metin kimlik bilgilerini hiçbir zaman çalışma kapsamının dışına çıkarmayın. Hangi hesapların kırıldığını ve bunun ne kadar hızlı gerçekleştiğini raporlayın; böylece müşteri gMSA geçişine öncelik verebilir.

Kırılmış parolaları hassas kabul edin: şifreli olarak saklayın ve raporlamadan sonra kalıcı olarak silin.

Kerberos biletlerini kırma mekanizmasını ne ölçüde kavradığınızı doğrulayın.

Kerberos'un biletleri nasıl verdiğini ve bu mekanizmanın nasıl kötüye kullanıldığını öğrendiniz.

• SPN biletleri hizmet hesabı özet değerleriyle şifrelenir ve bu da çevrimdışı kırmayı mümkün kılar.
• RC4 biletleri hızlı kırılır; AES ve gMSA savunma sağlar.
• Ön kimlik doğrulama devre dışı bırakıldığında AS-REP kırma için kimlik bilgisi gerekmez.
• Yem SPN'leri ve 4769 RC4 izleme saldırıyı yakalar.

Sırada çalınmış kimlik bilgilerini Özet Değerle Geçiş ve Biletle Geçiş ile yeniden kullanmayı ele alıyoruz.