Benutzer-Werkzeuge
Dies ist eine alte Version des Dokuments!
NTLM (New Technology LAN Manager) ist eine Sammelbezeichnung von Sicherheitsprotokollen zur Authentifizierung von Microsoft. NTLM ist ein von Microsoft entwickeltes Authentifizierungsprotokoll, das in Windows-basierten Netzwerken verwendet wird. Es ermöglicht die Authentifizierung von Benutzern und Computerkonten in einem Windows-Domänenumfeld.
NTLM ist eine Art Challenge-Response Methode. Ein User logt sich ein und der Client berechnet einen NTLM Hash basierend auf dem Passwort und speichert dieses im RAM Speicher. Der Client sendet den Usernamen an den Server zu dem der User sich verbinden möchte, welcher üblicherweise mit einer Challenge antwortet (meißt ein random Wert). Der Client verschlüsselt diesen Challenge Wert mit dem berechneten NTLM Hash der im RAM gespeichert ist und schickt diese sog. Response zurück an den Server. Der Server sendet den Usernamen und die Challenge dann an den Domain Controller. Der schaut das Passwort nach, erzeugt ebenfalls einen NTLM Hash und vergleicht diesen. Wenn diese übereinstimmen gilt die Authentifizierung als erfolgreich.
NTLMv1
NTLMv1 ist die ursprüngliche Version des NTLM-Protokolls und weist mehrere Sicherheitsmängel auf. Der Authentifizierungsprozess erfolgt wie folgt:
- Der Server sendet eine 8-Byte-Challenge an den Client.
- Der Client verwendet das NTLM-Hash-Passwort des Benutzers, um eine Antwort zu generieren.
- Diese Antwort wird mit einer LM- oder NT-Hash-Funktion verschlüsselt und zurückgesendet.
- Der Server vergleicht die Antwort mit der erwarteten Antwort.
Sicherheitsprobleme von NTLMv1
- Schwache Hash-Funktion: NTLMv1 verwendet veraltete Hash-Algorithmen (MD4 für den NT-Hash, DES für die Verschlüsselung), die anfällig für Brute-Force- und Rainbow-Table-Angriffe sind.
- Kein Schutz gegen Replay-Angriffe: Da keine Sitzungsbindung existiert, kann eine aufgezeichnete Authentifizierungsantwort erneut verwendet werden.
- Kein Schutz vor Man-in-the-Middle-Angriffen (MITM): Ein Angreifer kann sich zwischen Client und Server platzieren und Daten manipulieren.
NTLMv2
NTLMv2 wurde entwickelt, um die Sicherheitsmängel von NTLMv1 zu beheben. Es bietet eine verbesserte Challenge-Response-Mechanik:
- Der Server sendet eine 8-Byte-Challenge an den Client.
- Der Client generiert eine Antwort mit:
- einem HMAC-MD5-Hash des Benutzerpassworts,
- einer zufälligen Client-Nonce,
- einem Zeitstempel, um Replay-Angriffe zu verhindern.
- Die Antwort wird an den Server gesendet.
- Der Server überprüft die Antwort mit seinem eigenen Hash.
Verbesserungen von NTLMv2
- Stärkere Verschlüsselung: HMAC-MD5 statt der unsicheren DES-Verschlüsselung.
- Schutz vor Replay-Angriffen: Durch die Verwendung eines Zeitstempels wird verhindert, dass alte Authentifizierungsnachrichten wiederverwendet werden.
- Bessere Sicherheit gegen Brute-Force-Angriffe: Längere und komplexere Hashes erschweren das Knacken von Passwörtern.
Audit
Event IDs
- 4774 - An account was mapped for logon.
- 4775 - An account could not be mapped for logon.
- 4776 - The computer attempted to validate the credentials for an account.
- 4777 - The domain controller failed to validate the credentials for an account.
Get-WinEvent -LogName Security | Where-Object {$_.Id -eq 4774 -or $_.Id -eq 4775 -or $_.Id -eq 4776 -or $_.Id -eq 4777} | Select-Object Id,TimeCreated, Message | fl
Links
Seiten-Werkzeuge
