Kerberos Deep Dive Series
Curte estudar segurança no Windows? A Compass Security está fazendo uma saga que parece muito promissora. Eu vou assistir esses vídeos ainda. São deep dives de quase 2 horas cada.
- Protocolo Kerberos: Arquitetura do protocolo de autenticação de rede que utiliza criptografia de chave simétrica e um KDC (Key Distribution Center) para autenticação mútua.
- Componentes-Chave: Explica elementos como Realm, KDC (AS e TGS), tickets (TGT e ST) e chaves criptográficas (long-term keys e session keys).
- Fluxo de Autenticação: Detalha a sequência de mensagens
AS-REQ/AS-REP,TGS-REQ/TGS-REPeAP-REQ/AP-REPpara a obtenção de um TGT e um Service Ticket.
- Ataque Kerberoasting: Técnica onde um atacante solicita um Service Ticket (TGS-REQ) para um SPN e extrai o hash NTLM da conta de serviço, que é criptografado com a chave do serviço.
- Execução do Ataque: Demonstra o processo de obtenção de Service Tickets e o cracking offline do hash com ferramentas como Hashcat ou John the Ripper.
- Mitigação: Foca na importância de senhas robustas para contas de serviço e no monitoramento de eventos de solicitação de tickets.
- Vulnerabilidade AS-REP Roasting: Explora a vulnerabilidade de contas com a propriedade “Do not require Kerberos preauthentication” habilitada, permitindo que o hash da conta seja extraído da resposta inicial do AS (AS-REP).
- Processo de Ataque: Detalha o envio de uma solicitação AS-REQ para uma conta vulnerável sem pré-autenticação, obtendo um TGT criptografado com o hash NTLM que pode ser crackeado offline.
- Contramedidas: Enfatiza a desativação da opção de pré-autenticação e a imposição de políticas de senhas complexas.
- Delegação Não Restringida: Explica como um host com essa configuração pode agir em nome de qualquer usuário contra qualquer serviço no domínio, recebendo o TGT do usuário.
- Ataque de Delegação Não Restringida: Apresenta a técnica onde um atacante compromete um host com delegação não restringida para capturar o TGT de um usuário privilegiado.
- Golden Ticket vs. Silver Ticket: Diferencia o ataque de roubo de TGT (Golden Ticket) do roubo de ST (Silver Ticket) para demonstrar a escalada de privilégios.
- Delegação Restrita: Descreve a delegação restrita como uma melhoria de segurança que limita para quais serviços um host pode delegar credenciais.
- Mecanismos S4U: Apresenta os mecanismos Service for User (S4U), especificamente S4U to Self e S4U to Proxy, que permitem a obtenção de tickets em nome de um usuário.
- Vulnerabilidades: Discute como a delegação restrita pode ser mal configurada, permitindo ataques de escalonamento de privilégios.
- O que é RBCD?: Uma feature de delegação adicionada no Windows 2012 onde o recurso de backend define quais sistemas frontend podem delegar credenciais para ele. É o oposto da delegação restrita padrão, que é configurada no sistema frontend.
- Configuração: A configuração é feita no objeto de domínio do serviço de backend (conta de usuário ou máquina) e não requer privilégios de administrador de domínio.
- Mecanismo Subjacente: Usa os mesmos mecanismos S4U2self e S4U2proxy da delegação restrita para obter e usar tickets em nome de um usuário.
- Abuso por Atacantes: Um atacante que tenha controle sobre a conta do sistema frontend pode se passar por qualquer usuário no domínio para acessar qualquer serviço no sistema alvo.
- Monitoramento e Recomendações: Para detectar abusos, monitore alterações no atributo
msds-allowed-to-act-on-behalf-of-other-identity(ID de Evento 5136) e a criação de novos objetos de computador (ID de Evento 4741).