AS-REP Roasting.

Ataque ao Active Directory que solicita mensagens AS-REP do Kerberos de contas com a pré-autenticação desativada e depois quebra offline o bloco cifrado devolvido para recuperar a palavra-passe. Pertence à categoria Ataques e ameaças da cibersegurança.

Ataque ao Active Directory que solicita mensagens AS-REP do Kerberos de contas com a pré-autenticação desativada e depois quebra offline o bloco cifrado devolvido para recuperar a palavra-passe.

O AS-REP Roasting é um ataque de quebra de palavras-passe offline contra contas do Active Directory que têm a pré-autenticação Kerberos desativada (a flag «Não exigir pré-autenticação Kerberos», DONT_REQ_PREAUTH). Normalmente, a pré-autenticação obriga o cliente a provar que conhece a sua palavra-passe antes de o Centro de Distribuição de Chaves (KDC) emitir um ticket de autenticação. Quando está desativada, qualquer atacante não autenticado pode pedir ao KDC um AS-REP para essa conta; parte da resposta é cifrada com uma chave derivada do hash da palavra-passe do utilizador. O atacante captura esse bloco e processa-o com ferramentas como o Hashcat (modo 18200) ou o John the Ripper para quebrar palavras-passe fracas offline, sem desencadear bloqueios de conta. Ao contrário do Kerberoasting, nem sequer exige uma conta de domínio válida para enumerar utilizadores vulneráveis. As defesas incluem evitar a flag de pré-autenticação desativada, impor palavras-passe robustas e monitorizar pedidos AS-REQ sem pré-autenticação.

As defesas contra AS-REP Roasting costumam combinar controles técnicos e práticas operacionais, conforme detalhado na definição acima.

Nomes alternativos comuns: ASREP Roasting, AS-REP Roast.