Pass the Hash-Angriffe verstehen und vermeiden So verhindern Sie Angriffe auf das Active Directory

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

Arvato Systems

Keeper Security EMEA Ltd.

Viele Admins denken, Active Directory, die Kerberos-Technik und der dortige Umgang mit Kenn­wör­tern seien recht sicher. Angreifer können aber relativ einfach Netzwerkdaten mit­schnei­den und auf diesem Weg ganze Active-Directory-Umgebungen übernehmen. Auch Unix und Linux sind von Pass-the-Hash bedroht. Doch die Gefahren lassen sich leicht deutlich reduzieren.

Pass the Hash-Attacken (PtH) sind im Grunde genommen verbesserte Kennwort-Angriffe im Netzwerk. Davon betroffen sind vor allem ältere Windows-Versionen, darunter auch der abgekündigte Windows Server 2003. Es lassen sich mit dieser Angriffsmethode aber auch Anmeldedaten von aktuellen Serverversionen auslesen. Die Gefahr ist so groß, dass sich auch die NSA mit dem Thema befasst.

So funktioniert Kerberos

PtH-Angriffe zielen nicht auf die Kennwörter ab, sondern auf die Hashes, die in Active Directory erzeugt werden, nachdem sich ein Benutzer authentifiziert hat. Ein wesentlicher Bestandteil der Kerberos-Authentifizierung ist das Schlüsselverteilungscenter (Key Distribution Center, KDC). Dieser Dienst wird auf allen Windows Server 2003/2008/2008 R2/2012/2012 R2-Domänencontrollern ausgeführt und ist für die Ausstellung der Authentifizierungstickets zuständig.

Der zuständige Kerberos-Client läuft auf allen Windows-Arbeitsstationen. Wenn sich ein Benutzer an einer Arbeitsstation in Active Directory anmeldet, muss er sich zunächst an einem Domänencontroller und dem dazugehörigen KDC authentifizieren. Im nächsten Schritt erhält der Client ein Ticket-genehmigendes Ticket (TGT) vom KDC ausgestellt. Nachdem der Client dieses TGT erhalten hat, fordert er beim KDC mithilfe dieses TGT ein Ticket für den Zugriff auf das Netzwerk an. Diese Authentifizierung führt der Ticket-genehmigende Dienst (Ticket Granting Service, TGS) auf dem KDC aus. In der Abbildung ist der Ablauf am Beispiel eines schreibgeschützten Domänencontrollers mit Windows Server 2012 R2 zu sehen (ein Klick auf das Bild vergrößert dieses).

Nach der erfolgreichen Authentifizierung des TGT durch den TGS stellt dieser ein Dienstticket aus und übergibt dieses Ticket an den Client. Dieses Dienstticket gibt der Client an den Server weiter, auf den er zugreifen will, in diesem Beispiel der Dateiserver. Durch dieses Ticket kann der Dateiserver sicher sein, dass sich kein gefälschter Benutzer mit einem gefälschten Benutzernamen anmeldet.

Durch das Dienstticket wird sowohl der authentifizierende Domänencontroller, als auch der Benutzer authentifiziert. Der Dienst ist aber nicht so sicher, wie häufig gedacht wird. PtH-Angriffe können sich die Hashes der Anmeldedaten zunutze machen und sich unberechtigt Zugriff verschaffen. Die Angriffe lassen sich auf Windows- aber auch auf Linux-Servern vollziehen.

Single-Sign-On-Umgebungen sind besonders gefährdet

Vor allem in Umgebungen, in denen mit Single-Sign-On (SSO) gearbeitet wird, lassen sich Hashes besonders leicht auslesen, da die Daten auch zu anderen Diensten verschickt werden, um Anwender zu authentifizieren. Der Hash des Kennwortes, einfach ausgedrückt, die verschlüsselte Information, wo das korrekte Kennwort gespeichert ist, lässt sich also für Angriffe nutzen. Dieser Hash wird auf Rechnern zwischengespeichert, damit sich ein angemeldeter Benutzer nicht häufiger anmelden muss um auf Dienste im Netzwerk zuzugreifen.

Windows sendet bei Kennwortabfragen von Serverdiensten einfach den Hash. Um den Hash eines Anwenders zu stehlen werden häufig lokale Angreifer/Malware genutzt, da lokal der Schutz weniger hoch ist, als im Netzwerk. Im Internet sind dazu haufenweise Tools zu finden. Anwender müssen die entsprechenden Angreifer nur noch auf den Rechnern installieren.

Der Hash wird dazu nicht entschlüsselt oder gehackt, sondern er wird von den Angreifern selbst verwendet um mit den Rechten des Anwenders auf das Netzwerk und die internen Serverdienste zuzugreifen.

Wie ein Schnellball-System wird das ganze Netzwerk übernommen

Wird der Hash eines Administrators gekapert, ist schnell klar, welche Gefahren solche Angriffe darstellen. Die Angriffe funktionieren wie Schnellball-Systeme. Sobald ein Angreifer einen normalen Hash gekapert hat, kann er sich auf weiteren Rechnern und auf Servern im Netzwerk anmelden. Auf diesen Servern sind weitere Hashes gespeichert, die Angreifer dann ebenfalls verwenden können. Über kurz oder lang kann ein solcher Angreifer also relativ mühelos alle Anmeldedaten von allen Benutzern im Netzwerk kapern.

(ID:43481859)