Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

32 Kapitel 2: Authentifizierung und Authentifizierungsprotokolle
benutzt wird. Das ist einer der wenigen Fälle, in denen Windows vor einer Transaktion kein
Protokoll aushandelt. Der kombinierte Ablauf ist in Abbildung 2.8 dargestellt.
Abbildung 2.8 Die LM- und NTLM-Protokolle werden normalerweise zusammen übertragen
Alle Windows NT-Betriebssysteme vor Windows Server 2003 arbeiten so, wie in Abbildung
2.8 gezeigt, das heißt sie senden die LM- und NTLM-Antworten in der Standardeinstellung
zusammen. In Windows Server 2003 wird standardmäßig nur die NTLM-Antwort
gesendet, das Feld für die LM-Antwort bleibt meist leer. Beide Protokolle werden akzeptiert,
wenn sie angefordert werden. Ab Windows Vista und Windows Server 2008 hat sich
das geändert, wie ich gleich erkläre.
NTLMv2
Ab Windows Vista und Windows Server 2008 werden sowohl LM als auch NTLM in der
Standardeinstellung nicht mehr verwendet. NTLM wird für eingehende Authentifizierung
noch unterstützt, aber für ausgehende Authentifizierung wird in der Standardeinstellung
stattdessen eine neuere Version von NTLM gesendet: NTLMv2. Ältere Windows-Versionen
(schon seit Windows NT 4.0 Service Pack 4) konnten so konfiguriert werden, dass sie sich
so verhalten, dies war aber nicht die Standardeinstellung. Konkret heißt das: Der Computer
akzeptiert LM für die eingehende Authentifizierung, aber in der Standardeinstellung speichern
weder Windows Vista noch Windows Server 2008 den LM-Hash. Daher haben sie
keine Möglichkeit, eine eingehende LM-Antwort zu authentifizieren.
Sie können das Authentifizierungsverhalten ab Windows NT 4.0 Service Pack 4 mit dem
Registrierungswert LMCompatibilityLevel steuern. In den Gruppenrichtlinien wird die entsprechende
Einstellung als Netzwerksicherheit: LAN Manager-Authentifizierungsebene
angezeigt (Abbildung 2.9.)
Der Standardwert für LMCompatibilityLevel in Windows Vista und Windows Server 2008
ist 3 beziehungsweise Nur NTLMv2-Antworten senden. Die Tabellen 2.1 und 2.2 zeigen,
welche Auswirkungen die möglichen Werte auf einen Computer haben, der als Client beziehungsweise
authentifizierender Server arbeitet. Dabei ist wichtig, dass die Einstellungen in
Tabelle 2.2 sich nur auf den Server beziehen, der die Authentifizierung durchführt, also den
Server, der die Benutzerkontendatenbank enthält. Alle dazwischen liegenden Server leiten
die Anforderung einfach an diesen Server weiter. Das bedeutet, dass Tabelle 2.2 für Domä-