Аутентификация NTLM.

NTLM (NT LAN Manager) — семейство протоколов аутентификации Microsoft, предшествовавших Kerberos в Windows-сетях. Он использует обмен «вызов-ответ»: сервер отправляет случайный nonce, а клиент возвращает ответ, вычисленный из NT hash пользователя, поэтому сам пароль никогда не передаётся по сети. NTLMv1 полагался на слабое вычисление на основе DES; NTLMv2 использует ответ на основе HMAC-MD5, но ни один из них не привязывает обмен к целевому сервису, что и является корнем его опасности.

Атаки и признание устаревшим

Поскольку ответ лишь доказывает знание хеша, NTLM подвержен pass-the-hash (повторное использование украденного хеша без его взлома), офлайн-крэкингу перехваченных хешей и прежде всего NTLM relay: злоумышленник, вынуждающий жертву пройти аутентификацию, пересылает эту аутентификацию третьему сервису. CVE-2019-1040 («Drop the MIC») позволяла злоумышленникам убирать Message Integrity Code и снимать подпись во время relay. Примитивы принуждения, такие как PetitPotam (CVE-2021-36942, исправлена в августе 2021 года), запускают неаутентифицированную машинную аутентификацию, которая при пересылке (relay) на конечную точку веб-запроса сертификатов AD CS (ESC8, бюллетень ADV210003) даёт сертификат для контроллера домена и полный захват домена.

Microsoft начала официально объявлять NTLM устаревшим в 2024 году, направляя Windows 11 в сторону Kerberos с IAKerb и локальным KDC. Меры защиты: требовать подпись SMB и LDAP, включать Extended Protection for Authentication (channel binding), ограничивать исходящий NTLM через Group Policy и предпочитать конфигурации «только Kerberos».

flowchart TD
  C[Клиент] -->|1 NEGOTIATE| S[Сервер]
  S -->|2 CHALLENGE nonce| C
  C -->|3 RESPONSE из NT hash| S
  S -->|4 пересылка на контроллер домена| DC[Контроллер домена]
  DC -->|5 проверка хеша| S
  S -->|6 доступ предоставлен| C