Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

Authentifizierungsprotokolle 35
NTLM++
Etwa zu der Zeit, als Windows 2000 entwickelt wurde, fügte Microsoft ein weiteres Protokoll
der NTLM-Familie zu Windows hinzu. Dieses Protokoll hat keinen offiziellen Namen.
In manchen Teilen der Implementierung wird es als NTLM2 bezeichnet. Das soll es von
NTLM3 unterscheiden, das offiziell NTLMv2 heißt. An anderen Stellen wird es als NTLM++
bezeichnet. Es wurde niemals dokumentiert, aber extern von mehreren Leuten entdeckt,
darunter Eric Glass, Christopher R. Hertel und Hidenobu Seki. Es wird sogar vom Ethereal-
Netzwerkverkehranalyzer erkannt, der es als NTLM2 Session Security (NTLM2-Sitzungssicherheit)
bezeichnet. Dieser Name entstand, weil es immer dann beobachtet wurde, wenn
LMCompatibilityLevel den Wert 1 hatte, was die NTLMv2-Sitzungssicherheit aktiviert
(über die ebenfalls nicht viel bekannt war). Microsoft fügte NTLM++ hinzu, um bestimmte
Man-in-the-Middle-Angriffe zu erschweren, aber trotzdem die Fähigkeit zu bieten, eine Passthrough-Authentifizierung
zu implementieren, wenn eine Verbindung zu Servern mit älteren
Windows-Versionen hergestellt wird. NTLM++ ist gewissermaßen eine Zwischenstation in
der Entwicklung von NTLM zu LMv2/NTLMv2.
Bei NTLM++ wird das LM-Antwortfeld statt mit der LM-Antwort mit einer Clientfrage
gefüllt, wie in Abbildung 2.11 gezeigt.
Abbildung 2.11 Das Protokoll NTLM++ ändert die NTLM-Antwort und fügt eine Clientfrage hinzu
Das NTLM-Antwortfeld enthält eine geänderte NTLM-Antwort, die genauso wie die ursprüngliche
NTLM-Antwort berechnet wird, aber einen HMAC-MD5-Wert über die Clientfrage
und die Server-Frage berechnet, nicht nur über die Serverfrage.
Der Computer verwendet NTLM++ immer dann, wenn NTLMv2-Sitzungssicherheit aktiviert
ist. Ab Windows 2000 Security Rollup Pack 1 (SRP 1) senden alle Computer im ersten
Versuch automatisch die NTLM++-Antwort. Das bedeutet, dass ab dieser Version alle Computer
arbeiten, als hätte LMCompatibilityLevel den Wert 1.