הסבר על Kerberos
אימות ב-Active Directory
בשיעור זה אנו לומדים את פרוטוקול Kerberos, פרוטוקול האימות הראשי של וינדוס בארגון, ומפרקים את הפאקט הראשון שלו, בקשת שירות האימות, מבינים את כל חלקיו וגם כיצד תוקפים אותו.
פרקי ההרצאה: הסבר על Kerberos אימות ב-Active Directory
תמלול ההרצאה: הסבר על Kerberos אימות ב-Active Directory
הטקסט המלא של הדקות הראשונות בהרצאה «הסבר על Kerberos אימות ב-Active Directory» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.
שלום לכולם, בהרצאה הזו אנחנו נדבר על פרוטוקול קרברוס פרוטוקול אימות שיש לנו בתוך הארגון שדומיין קונטרולר, השרת הראשי שלנו, בעזרתו מאמת את המשתמשים זה פרוטוקול, הקרברוס הזה, זה פרוטוקול ברירת מרדל של Windows ורק אם הוא לא עובד, אז חוזרים חזרה ל-NTLM,
לשם וסיסמה הרגילים אז איך עובד הקרברוס הזה? שלב ראשון, המשתמש שולח קרברוס Authentication Service Request, בקשה לאימות בתוך הבקשה הזאת הוא מכניס את היוזרניים שלו ואת הטיימסטאפ טיימסטאפ זה שעה נוכחית ואת השעה הנוכחית הוא מצפין עם ההאש של הסיסמה ככה השרת יודע שזה היוזר האמיתי כי הוא הצליח
להצפין עם הסיסמה עם ההאש הנכון את השעה וגם על הדרך הוא יודע שזה לא האקר שעושה ריפליי אטאק שזה לא האקר שסתם תפס פאקט ושולח אותו עוד פעם כי אם השרת מקבל שני פאקטים מאותו יוזר עם אותו טיימסטאם בדיוק עם אותה חותמת זמן בדיוק אז הוא יודע שזה ריפליי אטאק שזה האקר שתפס לנו את הפאקט בדרך על הכבל ושלח אותו שוב כאילו האקר מנסה להזדהות בשמנו והשרת עולה על זה כי הוא מקבל
שני פאקטים מאותו יוזר בדיוק עם אותו טיימסטאם עם אותה אלפית שנייה אז השרת לוקח את הפאקט הזה שהוא קיבל מוציא מההארדיסק שלו מ-NTDSD בשרת את הסיסמה של היוזר הזה ופותח עושה Decrypt פותח הצפנה של החלק הזה ואם הסיסמה של היוזר פתחה את החלק הזה והוא הגיע לשעה נכונה ולא עברו אפילו 5 דקות מהשעה הנוכחית זה אומר הפאקט הזה עדיין רלוונטי וטרי
והוא פעם ראשונה הגיע אליי אז אני אתן לו בכלל אישור להיכנס אני אחזיר לו חזרה את הטיקט שהוא עבר עימות שימו לב שהאקר לא יכול לזייף את הטיימסטמפ כי חותמת הזמן הזו מוצפנת עם הסיסמה של יוזר והאקר לא יודע את הסיסמה המקורית של היוזר אז הוא מסוגל לראות את הפאקט אבל לא מסוגל לשנות אותו כי הוא לא מסוגל להצפין אותו מחדש אז הבקשה הזאת מיוזר לסרבר
כוללת את הטיימסטמפ את השעה הנוכחית מוצפנת עם הסיסמה של היוזר עם ההאש ושימו לב זה לא ערבול חד כיווני זאת הצפנה רגילה והשרת עושה לה רוורס עושה לה דקריפט דרך אגב למה זה לא האש למה זה הצפנה רגילה שאפשר לעשות לרוורס כי בשביל ששרת יוכל לבדוק האם ההאש הוא נכון או לא הוא צריך לדעת מה המקור הוא חייב לעשות את כל התהליך
בדיוק כמו הקליינט ולבדוק את הגיבוב את התוצאה של האש האם היא זהה או לא הבעיה שהשרת לא יודע באיזה אלפית שנייה התחלתי את העימות הוא לא יודע את הטיימסטמפ המקורי של היוזר ולכן השרת לא יכול לבצע את ההאשינג בצד שלו כי האינפוט המקורי לא ידוע לו אז משתמשים בהצפנה רגילה ואנחנו בתור ההאקרים יכולים לנסות לעבור מילה מילה במילון ולנסות
לפתוח את ההצפנה הזאת. ויש לנו סרטים שאנחנו ממש עושים את זה ומראים בדיוק איך לתפוס את הפאקט הראשון שעובר על הכבל ואיך לפרוץ את ההצפנה שלו עם ג'ון דה ריפר יש לנו ממש סרטים על איך פורצים את הפאקט הראשון בקרברוס על ידי מעבר על כל סיסמה אפשרית מתוך איזשהו מילון מוכן מראש במטרה למצוא
את הסיסמה הנכונה שתפתח לנו את הטיימסטאמפ. ככה מנסים לפרוץ קרברוס, זו אחת ההתקפות על קרברוס. דרך אגב, החלק הזה של טיימסטאמפ שמוצפן עם הסיסמה של היוזר, אפשר בכלל לבטל ב-Active Directory, בניהול המרכזי, כי זה נחשב pre-authentication, עימות מקדים למה שיבוא אחרי זה, ויש אופציה בחשבון של
היוזר לשים כזה v שמבטל בכלל את הצורך ב-pre-authentication הזה. טיימסטמפ שמוצפן עם הסיסמה של יוזר. האמת שבחיים לא ראיתי מישהו שביטל את זה, אבל תדעו שזה אופציונלי, זה לא החלק המרכזי בעימות.
בפועל הוא מוסיף המון המון המון מנקודת מבט של אבטחה באפשרות לפרוץ את הפרוטוקול. דרך אגב, בתוך הפקט טרייסר ממש רואים את זה, ממש רואים שהפקט הראשון שווינדוס שולח, הוא לא שם שם את הטיימסטמפ שמוצפן עם הסיסמה של היוזר, לא יודע למה, Windows 10 11 גם הווינדוסים הישנים לא שמים את החלק הזה בפאקט הראשון והשרת מסרב להם
הוא ממש אומר להם שחייבים לעשות pre authentication ואז הקליינט Windows 10 11 מנסה שוב לשלוח פאקט אבל הפעם עם טיימסטמפ מוצפן טוב בואו נתקדם ונמשיך עם הפאקט הראשון יש שם עוד חלקים ה-spn הזה אומר שאני רוצה לקבל שירות האימות של קרברוס TGT, זה SPN הזה, זה אומר מה אני רוצה לקבל ממך, איזה סוג של שירות.
User Nonsense, זה סתם מספרים אקראיים שמשמשים כמזהה של הבקשה הזאת, כדי שנוכל לשייך את התשובה של השרת לבקשה הספציפית הזאת שהייתה.
תחשבו שהמחשב שלי יכול להיות במקביל לעשות כמה פניות לשרת, ככה אני מוודא שהתשובה