НЕСЛУЧАЙНО CUDA ИДЕМ? phpMyAdmin - Xakep Online

SYN/ACK
В НАСТРОЙКАХ УЧЕТНОЙ ЗАПИСИ МОЖНО УСТАНО-
ВИТЬ АЛГОРИТМЫ ШИФРОВАНИЯ KERBEROS
GPO ПОЗВОЛЯЕТ УПРАВЛЯТЬ ИСПОЛЬЗОВАНИЕМ
LM/NT-ХЭШЕЙ В ДОМЕНЕ
ПЕРЕИМЕНОВАВ УЧЕТНУЮ ЗАПИСЬ АДМИ-
НА, ТЫ УСЛОЖНИШЬ ЖИЗНЬ ВЗЛОМЩИКУ
çàêîí÷èòñÿ íåóäà÷åé, è âìåñòî íåãî áóäåò çàäåéñòâîâàí
NTLM. Ïðè÷åì, ïîñëåäíÿÿ îøèáêà õàðàêòåðíà íå òîëüêî
äëÿ Win2k3 è ïðåäûäóùèõ âåðñèé, êàê ýòî îïèñàíî íà
ñòðàíèöå support.microsoft.com/kb/327825, íî ïîÿâëÿåòñÿ
ïðè íåêîòîðûõ óñëîâèÿõ è â Win2k8. Íåäîñòàòî÷íûé è
ôèêñèðîâàííûé ðàçìåð áèëåòà äàåò âîçìîæíîñòü ïðîâåäåíèÿ
DOS-àòàêè, ðåçóëüòàòîì êîòîðîé ÿâëÿåòñÿ îòêàç â
ðåãèñòðàöèè ïîëüçîâàòåëÿ ñ ó÷åòíûìè ïðàâàìè àäìèíèñòðàòîðà.
Ïðàâäà, äëÿ òàêîé àòàêè íåîáõîäèìî èìåòü ïðàâà
ïî óïðàâëåíèþ ãðóïïàìè.
×òîáû èçáåæàòü ïîäîáíîé ñèòóàöèè, óâåëè÷ü ðàçìåð òîêåíà,
óñòàíîâèâ ìàêñèìàëüíîå çíà÷åíèå 65535 äëÿ ïàðàìåòðà
ðååñòðà MaxTokenSize (REG_DWORD), èëè èñïîëüçóé
ôîðìóëó äëÿ ðàñ÷åòà, îïèñàííóþ â áþëëåòåíå KB327825.
Òàêæå ñëåäóåò óäàëèòü sidHistory, ÷òîáû îñâîáîäèòü ìåñòî
â áèëåòå. Ýòî ìîæíî ïðîäåëàòü ïðè ïîìîùè VBS ñêðèïòà,
âçÿòîãî ñ support.microsoft.com/kb/295758.
 Kerberos âåðñèè 5.0, íà îñíîâå êîòîðîãî ïîñòðîåí
Kerberos â Windows îò 2k, äëÿ ïîëó÷åíèÿ áèëåòà èñïîëüçóåòñÿ
ìåõàíèçì ïðåäâàðèòåëüíîé àóòåíòèôèêàöèè
(pre-authentication). Â õîäå íåãî êëèåíò îòñûëàåò íà ñåðâåð:
ëîãèí, äîìåí è îòìåòêó âðåìåíè, çàøèôðîâàííûå ïîñðåäñòâîì
ñåêðåòíîãî êëþ÷à, êîòîðûé ñîçäàí íà îñíîâå ïàðîëÿ.
Çíàíèå ìåòêè âðåìåíè ïîçâîëÿåò ïðîãðàììå KerbCrack
XÀÊÅÐ 07 /127/ 09
(Kerberos Password Crack, ntsecurity.nu/toolbox/kerbcrack)
ðàñøèôðîâàòü äàííûå äëÿ âõîäà. Ñàì KerbCrack ìîæåò
çàïóñêàòüñÿ âî âñåõ ÎÑ Windows íà ÿäðå NT, âêëþ÷àÿ Vista,
è ñîñòîèò èç äâóõ ïðîãðàìì: ñíèôåðà è ðàñøèôðîâùèêà.
 ðåàëèçàöèÿõ Kerberos äî Win2k3 âêëþ÷èòåëüíî äëÿ
øèôðîâàíèÿ èñïîëüçóþòñÿ àëãîðèòìû ÑÐÑ-32, MD4,
MD5 è DES. Íà÷èíàÿ ñ Vista, â ýòîì ñïèñêå ïîÿâèëñÿ
áîëåå íàäåæíûé AES 128/256. Ýòî ñäåëàëî ïðèìåíåíèå
KerbCrack íåýôôåêòèâíûì. Åñëè äëÿ àóòåíòèôèêàöèè
ïðèìåíÿþòñÿ ñìàðò-êàðòû, òî â ñåàíñå ïðåäâàðèòåëüíîé
àóòåíòèôèêàöèè äëÿ øèôðîâàíèÿ èñïîëüçóåòñÿ çàêðûòûé
êëþ÷ ïîëüçîâàòåëÿ. Ïîýòîìó, ÷òîáû èçáåæàòü ïåðåõâàòà,
òàêîé ìåòîä ðåãèñòðàöèè ïðåäïî÷òèòåëåí. Êàê âàðèàíò,
ìîæíî çàøèôðîâàòü òðàôèê ïðè ïîìîùè VPN, íàïðèìåð,
IPsec. È, íàêîíåö, èñïîëüçîâàâ ïîëèòèêó «Network Security:
Configure encryption types allowed for Kerberos», ìîæíî
æåñòêî óñòàíîâèòü èñïîëüçóåìûå Kerberos àëãîðèòìû
øèôðîâàíèÿ è çàïðåòèòü óñòàðåâøèé DES.
Ñëåäóåò äîáàâèòü, ÷òî â Win2k8 ïîÿâèëñÿ íîâûé ïàðàìåòð
«Allow Cryptography algorithms compatible with Windows NT
4.0». Ïî óìîë÷àíèþ îí íå óñòàíîâëåí — «Not Configured»,
à çíà÷èò, âñå êëèåíòû, íå ïîääåðæèâàþùèå íîâûå è áîëåå
çàùèùåííûå àëãîðèòìû, íå ñìîãóò ïîäñîåäèíèòüñÿ ê
äîìåíó. Åñëè ïðè ïîäêëþ÷åíèè ê Win2k8-äîìåíó ïîÿâëÿþòñÿ
îøèáêè, îïèñàííûå â KB942564 (go.microsoft.com/
fwlink/?Linkid=104751), òî âêëþ÷è ýòîò ïàðàìåòð. Ïðàâäà,
öåíà òàêîãî øàãà — ñíèæåíèå áåçîïàñíîñòè. Â êðàéíåì
ñëó÷àå, â Win2k8 â ñâîéñòâàõ îòäåëüíîé ó÷åòíîé çàïèñè, âî
âêëàäêå Account, ìîæíî ðàçðåøèòü èñïîëüçîâàíèå DES/
AES è îòêëþ÷èòü ïðåäâàðèòåëüíóþ àóòåíòèôèêàöèþ.
Çäåñü æå íàõîäèòñÿ ïàðàìåòð «Smart Card Is Required for
Interactive Logon», óñòàíîâêà êîòîðîãî òðåáóåò èñïîëüçîâàíèÿ
ñìàðò-êàðòû ïðè âõîäå. Ïî óìîë÷àíèþ ýòà ïîëèòèêà
îòêëþ÷åíà.
ЗАКЛЮЧЕНИЕ Àòàêè, ïîçâîëÿþùèå ïåðåõâàòèòü è ðàñøèôðîâàòü
ïàðîëü, â íîâûõ âåðñèÿõ ñèñòåìû ïðàêòè÷åñêè
ñâåäåíû íà íåò. Òîëüêî â òîì ñëó÷àå, êîãäà â ñåòè ïðèñóòñòâóþò
êëèåíòû, ðàáîòàþùèå ïîä óïðàâëåíèåì ñòàðûõ âåðñèé
Windows èëè äðóãèõ ÎÑ, íå ïîääåðæèâàþùèõ íîâûå
ïàðàìåòðû ïðîòîêîëà, ñóùåñòâóåò âåðîÿòíîñòü ïåðåõâàòà
ïàðîëÿ.z
INFO
info
• По умолчанию
в системах от Vista
и выше для недоменной
аутентификации
используется
NTLMv2.
• Чтобы NTLMv2
могли использовать
клиенты Win98, на
них следует установить
специальный
Directory Service
Client.
• При правильных настройках
и постоянном
аудите происходящих
событий риск
нарушения работоспособности
AD можно
свести к минимуму.
119