AS-REP Roasting(AS-REP ロースティング).

AS-REP Roasting は、Kerberos の事前認証が無効化された Active Directory アカウント(「Kerberos 事前認証を要求しない」フラグ、DONT_REQ_PREAUTH が設定されたアカウント)を狙うオフラインのパスワードクラッキング攻撃です。通常、事前認証はクライアントに対し、鍵配布センター(KDC)が認証チケットを発行する前にパスワードの知識を証明することを求めます。これが無効化されていると、認証されていない攻撃者でもそのアカウントの AS-REP を KDC に要求でき、応答の一部はユーザーのパスワードハッシュから導出された鍵で暗号化されています。攻撃者はこのブロックを取得し、Hashcat(モード 18200)や John the Ripper といったツールにかけ、アカウントロックを発生させずに弱いパスワードをオフラインで解読します。Kerberoasting と異なり、脆弱なユーザーを列挙するのに有効なドメインアカウントすら不要です。対策には、事前認証無効フラグの回避、強固なパスワードの強制、事前認証を伴わない AS-REQ の監視などがあります。