AS-REP Roasting.

Attaque sur Active Directory qui demande les messages AS-REP Kerberos de comptes dont la préauthentification est désactivée, puis casse hors ligne le bloc chiffré renvoyé pour retrouver le mot de passe. Cette notion relève de la catégorie Attaques et menaces en cybersécurité.

Attaque sur Active Directory qui demande les messages AS-REP Kerberos de comptes dont la préauthentification est désactivée, puis casse hors ligne le bloc chiffré renvoyé pour retrouver le mot de passe.

L'AS-REP Roasting est une attaque de cassage de mots de passe hors ligne visant les comptes Active Directory dont la préauthentification Kerberos est désactivée (l'indicateur « Ne pas exiger la préauthentification Kerberos », DONT_REQ_PREAUTH). Normalement, la préauthentification oblige le client à prouver qu'il connaît son mot de passe avant que le centre de distribution de clés (KDC) ne délivre un ticket d'authentification. Lorsqu'elle est désactivée, tout attaquant non authentifié peut demander au KDC un AS-REP pour ce compte ; une partie de la réponse est chiffrée avec une clé dérivée du hachage du mot de passe de l'utilisateur. L'attaquant capture ce bloc et le soumet à des outils tels que Hashcat (mode 18200) ou John the Ripper pour casser hors ligne les mots de passe faibles, sans provoquer de verrouillage de compte. Contrairement au Kerberoasting, l'attaque ne nécessite même pas de compte de domaine valide pour énumérer les utilisateurs vulnérables. Les défenses consistent à éviter l'indicateur de préauthentification désactivée, à imposer des mots de passe robustes et à surveiller les requêtes AS-REQ dépourvues de préauthentification.

Les défenses contre AS-REP Roasting combinent habituellement des contrôles techniques et des pratiques opérationnelles, comme détaillé dans la définition ci-dessus.

Noms alternatifs courants : ASREP Roasting, AS-REP Roast.