GetNPUsers & Kerberos Pre-Auth Explained

Summary

Este video explica cómo funciona la autenticación Kerberos en un entorno de Active Directory, destacando la importancia de la pre-autenticación y los riesgos de deshabilitarla. Se profundiza en cómo un atacante podría aprovechar esta vulnerabilidad para obtener contraseñas de usuarios mediante la manipulación de los tokens de autenticación, como el TGT (Ticket Granting Ticket). Además, el video anticipa un futuro tutorial sobre Active Directory, que cubrirá aspectos básicos como las políticas de grupo, la integración de DNS y cómo gestionar objetos y permisos en un dominio, todo desde una perspectiva de seguridad.

Takeaways

• 😀 La autenticación Kerberos en Active Directory utiliza el preautenticación para evitar ataques de repetición.
• 😀 Los ataques de repetición pueden ocurrir si no se incluye un sello de tiempo en la solicitud de autenticación.
• 😀 La preautenticación de Kerberos asegura que la solicitud de autenticación sea legítima y no haya sido repetida en el tiempo.
• 😀 Si la preautenticación está desactivada, un atacante podría interceptar datos cifrados y obtener la contraseña del usuario.
• 😀 Un Ticket-Granting Ticket (TGT) es un token que permite a los usuarios autenticarse con otros servicios sin volver a ingresar su contraseña.
• 😀 En un sistema sin preautenticación, un atacante podría solicitar un TGT y usarlo para acceder a otros servicios.
• 😀 El proceso Kerberos funciona al pedir datos cifrados con la contraseña del usuario desde el servidor Kerberos.
• 😀 Sin preautenticación, es posible que un atacante obtenga un TGT sin necesidad de conocer la contraseña del usuario.
• 😀 El video describe cómo un script busca cuentas de usuario sin preautenticación activada, lo que las hace vulnerables a ataques.
• 😀 Se explica que aunque en la documentación de RFC se menciona que la vulnerabilidad no es un problema, en la práctica puede serlo debido a la capacidad de descifrar los datos en línea.
• 😀 El futuro video de Active Directory se centrará en conceptos fundamentales como las rutas de objetos, permisos, integración de DNS y políticas de grupo, cubriendo aspectos importantes para administradores y atacantes.

Q & A

¿Qué es la preautenticación en el contexto de Kerberos?

La preautenticación en Kerberos es un mecanismo que asegura que las solicitudes de autenticación sean legítimas y ocurran en tiempo real, previniendo ataques de repetición. Si la preautenticación está habilitada, el servidor verifica que la solicitud coincida con la hora actual, evitando que los paquetes interceptados sean reutilizados más tarde.

¿Cuál es el propósito de un Ticket Granting Ticket (TGT) en Kerberos?

El TGT es un token de autenticación que permite a un usuario acceder a otros servicios dentro de un dominio. Este ticket contiene información sobre el usuario y se obtiene después de una autenticación exitosa con Kerberos.

¿Por qué es un problema que la preautenticación esté deshabilitada en un sistema Kerberos?

Si la preautenticación está deshabilitada, un atacante podría enviar solicitudes de autenticación para obtener información sensible, como contraseñas, ya que no se verifica el tiempo de la solicitud, lo que permite ataques de repetición.

¿Qué es un ataque de repetición y cómo se previene en Kerberos?

Un ataque de repetición ocurre cuando un atacante captura una solicitud de autenticación y la reenvía para obtener acceso sin tener la contraseña real. Kerberos previene este tipo de ataque utilizando marcas de tiempo en las solicitudes de autenticación, asegurando que las solicitudes sean recientes y no hayan sido reproducidas.

¿Cómo se puede obtener la contraseña de un usuario a través de Kerberos si la preautenticación está deshabilitada?

Si la preautenticación está deshabilitada, un atacante puede solicitar datos cifrados desde el servidor Kerberos relacionados con la cuenta del usuario. Al descifrar esos datos offline, es posible obtener la contraseña del usuario.

¿Qué significa el error de 'desfase de reloj' (clock skew incorrect) en un sistema Kerberos?

El error de 'desfase de reloj' ocurre cuando la hora de la computadora que hace la solicitud de autenticación no coincide con la hora del servidor. Kerberos permite una diferencia de tiempo de hasta 5 minutos para evitar que se presenten ataques de repetición.

¿Por qué Kerberos permite la solicitud de datos de otros usuarios sin que un atacante necesite la contraseña del usuario?

Kerberos permite esto porque los datos solicitados están cifrados con la contraseña del usuario. Sin embargo, en la práctica, si la preautenticación está deshabilitada, los atacantes pueden capturar y descifrar estos datos offline, lo que representa una vulnerabilidad.

¿Cómo se obtiene un TGT en un sistema Kerberos y qué contiene?

Para obtener un TGT, un usuario realiza una autenticación con Kerberos, que se comunica con el servidor de autenticación para recibir el ticket. Este TGT contiene información sobre el usuario, como su identidad y credenciales de autenticación.

¿Qué es LDAP y cómo se usa en el contexto de Active Directory?

LDAP (Lightweight Directory Access Protocol) es un protocolo utilizado para acceder y gestionar directorios, como Active Directory. En este contexto, LDAP se usa para buscar cuentas de usuario que no requieran preautenticación en Kerberos.

¿Qué es un ataque de Kerberos y cómo se puede mitigar?

Un ataque de Kerberos puede ocurrir cuando un atacante obtiene datos cifrados de la autenticación y los descifra offline. La mitigación de este tipo de ataque incluye habilitar la preautenticación, asegurando que las solicitudes sean válidas y no sean parte de un ataque de repetición.