Active Directory sifre hash metodu ?

Merhaba,

NTLM in hangi versiyonunu kullanıyoruz sorusunu soruyorsan orası karışık, Client ve Server OS versiyonları ve LMCompatibilityLevel GPO ayarlarına göre değişir ama v1 de v2 de NT Hash kullanır.

Metodları göremezsin o kısmı gizli, en mantıklı kaynak MSDN de unicodePwd olsa gerek oradan bişey çıkabilir 🙂

Şifre saklama sadece NT Hash o da sadece “MD4”

Hakan bey merhaba,

Suanki AD'miz (Server 2008 R2), NT hash MD4 ile tutuyor ancak çok hizli kirilabilen bir hash metodu.

Asagidaki article 'da AES'in desteklendigi belirtiliyor :

http://www.microsoft.com/security/sir/strategy/default.aspx#!password_hashes

Ancak benim bu konu ile ilgili bulabilgim ;

GPO'da "Network Security: Configure Encryption types allowed for Kerberos" ayarinda istenilen encyption metod'unun aktif/pasif edilmesi (AES128 et AES 256 seçeneklerde var article'daki gibi) yada Schema'daki "msDS-SupportedEncrytionTypes" attribut 'de aktif edilmesi.

http://blogs.msdn.com/b/openspecification/archive/2011/05/31/windows-configurations-for-kerberos-supported-encryption-type.aspx

Ancak, gorunuse gore bu ayarlar sadece network tarafini yani authentication mekanizmasini ilgilendiriyor.

"Şifre saklama sadece NT Hash o da sadece “MD4”"

Sadece derken yani MD4 ile NT hash disinda bir metodu AD desteklemiyor mu ? yada bunu saglamanin bir yolu var midir ?  (sadece storage kismindan bahsediyorum(ntds.dit), Authentication' ni hariç tututarak)

Yardimlariniz için tesekkur ederim,

 ..

Tuna, efsane cevap olmuş 🙂

Merhaba,

Microsoft'un tarih olmus bir algoritmayi kullanmasi beni sasirtti açikçasi ama NTLM bagimliliginin da bizi alternatifsiz birakmasi baska bir sorun.

MD4 dizayni geregi evet çok hizli ama bu bir yerde zayiflik çunku saniye de milyonlarca kombinasyon denenmesine olanak sagliyor hele birde paralelizm isin içine gerince çok kisa surede yuzlerce sifre hash'i çozukluyor.OWF kullanmasi da bir guvenlik saglamiyor bu durumda NT Hash "Salt" metodunu kullanamadigi için ayni sifre için ayni hash'i uretiyor buda bir password'u çozunce ayni harika password'u olan diger kullanicilarin da sifresi çozulmus oluyor.

Kendi yapim için konusursam birbiriyle senkronize 3 farkli directory var AD içlerindeki ikinci zayif algoritma kullanan bu durumda.                          50000 den fazla account'un oldugu ve 36000 den fazlasinin aktif kullanildigi SHA256 hash algorithmasi kullanan directory'de bu sebeble bu gune kadar bir performas sorunu yasamadik.

Arastirmalarim ve sizin de vermis oldunuz bilgiler gosteriyor ki Microsoft sifre guvenligi konusunda iyi bir Password Policy uygulayin (komplex ve mumkun olabildigince uzun!) ve veritabaninizi çaldirmayin diyor 😉

Verdiginiz bilgiler ve PtH dokumanlari için tesekkur ederim inceleyecegim,

Iyi çalismalar

AD nin de 1999 da release olduğunu düşünürsek çok şaşırmamak lazım, ama şaka bir yana bunun temel sebebinin NTLM bağımlığı olduğu aşikar.

MD4 konusunda dediklerin doğru %100 katılıyorum, ayrıca paralelizm dediğin iş için kaynak limitin de yok, Azure üzerinde saniyeler içerisinde HPC ler kurabiliyorsun yani arka taraftaki işlemci gücüne ulaşmak gün geçtikçe daha da kolaylaşıyor. O yüzden MD4,SHA-1,SHA-2, SHA-XYZ  veya Salt, NoSalt gibi konulara bence takılma, vurgulamaya çalıştığım SHA-2 değil SHA-3 de kullansan ben HASH i aldıktan sonra gerisi mühim değil savaşı kaybettin.

Yapın için verdiğin örnek için teşekkürler, ama burada hesaba katmamız gereken o kadar çok değişken var ki inan en basit gözüken değişikliker bile çok büyük problemlere sebebiyet verebiliyor, AD nin install base i bugün %95, dünya üzerinde kullanmayan şirket sayısı çok az, o yüzden bu tarz majör değişiklikler çok ciddi problemlere sebebiyet verebilir. En basitinden bir örnek verecek olursam 2008 de default olarak DES i kapattık, sene 2015 sence kaç müşteri de DES kapalı kaldı? yine buna örnek LM Hash kaç müşteride hala açık? Bağımlılıklarından dolayı hala 2003 AD kullanan müşteriler var, Interop ve LOB uygulamaları işin içine girince maalesef elin kolun bağlanıyor ve birçok yerde güvenlik ikinci plana atılıyor (konu ver örnek uzar da uzar).

""

Hatta isim vermeden canlı şahit olduğum bir örnek anlatayım; IT ekibi içerisindeki bir dialogda AD ci arkadaşa soruyorlar bizde DES ne durumda, bizde kapalı diyoruz, o zaman açalım diyorlar, soruyoruz niye 10.000 client lisanslı bir uygulamayı bize XYZ bedavaya veriyor ama çalışması için DES lazım, gerisini yazmaya gerek yok, sonucun ne olduğunu az çok tahmin edebilirsiniz.

""

PtH (dökümanları mutlaka oku inan çok keyifli) dökümanında önerdiğimiz tüm ayarları ve bunların güvenliğe katkı seviyelerini bulabilirsin, evet PasswordPolicy önemli, database daha da önemli kesinlikle çaldırma 🙂 sanal ise bunların yönetimi kimde? vhd, vhdx (HyperV reklamı) lerin nerelerde? AD de "yetkili gruplara" kimler dahil, bunlarda "Password Never Expires" açık mı? son kullanıcını geç senin (Adminlerin) şifren kaç karakter? Admin işleri için ayrı bir hesabın var mı? mail disabled mı? vs... vs... 

En güncel atak yöntemine bir örnek;

1- Sunucu ve Clientlarda Lokal Admin şifresini kır (birçok yer hala GPP ile her makinaya aynı şifreyi basıyor)

2- Lateral movement, lokal admininde aynı şifreyi kullanan tüm sunucu ve clientların memory sine eriş (lokal admin in memory debug yetkisi var)

3- Birinde bile DA, EA gibi yetkili gruplara üye bir hesabın HASH i varsa al ve kendi token ına inject et (neyle hash lendiğinin bir önemi yok)

4- Şimdi ne istersen yap 🙂 istersen yıllarca uykuya yat (kurumsal espionage yap)

Dediğin kadar büyük bir yapınız var ise, Microsoft' kurumsal Premier iniz de vardır diye düşünüyorum, bir gün çay içmeye gelebilrim 🙂

teşekkürler,

Tuna Gezer

https://tr.linkedin.com/pub/tuna-gezer/24/372/877

"MD4,SHA-1,SHA-2, SHA-XYZ  veya Salt, NoSalt gibi konulara bence takılma, vurgulamaya çalıştığım SHA-2 değil SHA-3 de kullansan ben HASH i aldıktan sonra gerisi mühim değil savaşı kaybettin."

Olay zaten buraya gelmeden guvenlik politikalariyla network'te çozulmeli, anladigim kadariyla MS bu yuzden Kerberos Authentication guvenline bu kadar çalismis ancak hersey CISO'nun kullanicilarin passwordleri ne kadar guvenli bir kirip risk analizi yapalim, zayif olanlari bilgilendirelim derken biz ne kadar guvenli sakliyoruza gelince, ustune AD'nin veritabani bu kadar hizli çozulunce ister istemez desteklenen daha guvenli bir hash algoritmasi arayisina girdim ama yanlis baligi kovaliyormusus.
Canli ve guncel ornekler için tesekkur ederim.

"Dediğin kadar büyük bir yapınız var ise, Microsoft' kurumsal Premier iniz de vardır diye düşünüyorum, bir gün çay içmeye gelebilrim :)"

AD yapimiz çok komplex degil ancak universite oldugumuz için directory yapisi oldukça heterojen (Oracle/Unix/Linux/AD...).                                   Her zaman beklerim ama yurtdisindayim çay'dan ziyade kahve croissant ikram edebilirim:)

Iyi çalismalar

1999'da Microsoft'da hayaller Kerberos ama maalesef gerçekler Kasımpaşa. 🙂

Kesinlikle haklsın olay daha network de IDS, IPS lerin olmalı vs. vs. hatta bu noktada Microsoft olarak Aorato firmasını satın alıp "Microsoft ATA (Advanced Thread Analytics)" ürününü çıkardık, network de DC lerine gelen trafiği sniff edip EventLoglarını ML de kullanarak sana olası atak durumunda uyarı veriyor, bir bakmanı öneririm.

Zaten o kadar seat ya banka da, yada üniversite de olur, tahmin etmeliydim. İş sebebiyle avrupa'ya çok gidiyorum, ama fransızlar illa kendi dilinde adam istedikleri için oraya çok uğramıyorum 🙂 ama notunu aldım yolumuz düşerse mutlaka haber veririrm.

tşk,

O zaman sana Microsoft ATA öneriyorum, özellikle PtH için önleme değil ama raporlama ve uyarı için birebir. Şu anda bir bankada POC yapıyoruz 🙂 ürün gerçekten çok başarılı

https://www.cozumpark.com/blogs/cloud_computing/archive/2015/08/30/microsoft-advanced-threat-analytics-bolum1-what-is-ata.aspx

https://www.cozumpark.com/blogs/cloud_computing/archive/2015/08/30/microsoft-advanced-threat-analytics-bolum2-planning-and-requirements.aspx

https://www.cozumpark.com/blogs/cloud_computing/archive/2015/08/30/microsoft-advanced-threat-analytics-bolum3-deployment-guide-lab-_3101_nstallation.aspx

https://www.cozumpark.com/blogs/cloud_computing/archive/2015/08/30/microsoft-advanced-threat-analytics-bolum4-configure-event-collection.aspx