Kerberos ist ein Netzwerk-Authentifizierungsprotokoll, das mit verschlüsselten Tickets eines vertrauenswürdigen Servers arbeitet, sodass Nutzer sich gegenüber Diensten ausweisen, ohne Passwörter über das Netz zu senden.
Wie Kerberos funktioniert
Kerberos wurde in den 1980er-Jahren am MIT entwickelt; Version 5 ist in RFC 4120 spezifiziert und das Standard-Authentifizierungsprotokoll im Windows-Active Directory. Ein vertrauenswürdiges Key Distribution Center (KDC), das unter Windows auf jedem Domänencontroller läuft, stellt zwei Arten von Tickets aus:
- Ticket Granting Ticket (TGT) – erhält der Nutzer nach der Anmeldung; es ist mit dem Schlüssel des speziellen Kontos krbtgt verschlüsselt.
- Service-Tickets – werden mit dem TGT für jeden einzelnen Dienst (Dateifreigabe, SQL-Server, Webanwendung) angefordert und mit dem Schlüssel des jeweiligen Dienstkontos verschlüsselt.
Tickets sind nur begrenzt gültig und enthalten Zeitstempel, was vor Replay-Angriffen schützt. Kerberos nutzt in der Regel Port 88.
Warum Kerberos für die Sicherheit wichtig ist
Weil Kerberos das Rückgrat der Unternehmensauthentifizierung bildet, nehmen Angreifer es nach dem ersten Eindringen ins Visier. MITRE ATT&CK führt mehrere Techniken unter T1558 (Steal or Forge Kerberos Tickets):
- Kerberoasting (T1558.003) – Service-Tickets anfordern und die Passwörter der Dienstkonten offline knacken.
- AS-REP-Roasting (T1558.004) – Angriff auf Konten, für die keine Vorauthentifizierung erforderlich ist.
- Golden Ticket (T1558.001) – Fälschen beliebiger TGTs mit einem gestohlenen krbtgt-Hash, was volle Kontrolle über die Domäne verschafft.
- Silver Ticket (T1558.002) – Fälschen von Service-Tickets für einen einzelnen Dienst.
Bei Pass-the-Ticket-Angriffen werden gestohlene Tickets für die laterale Bewegung wiederverwendet.
So sichern Sie Kerberos ab
- Für Dienstkonten lange, zufällige Passwörter oder gruppenverwaltete Dienstkonten (gMSA) verwenden.
- RC4 deaktivieren und AES-Verschlüsselung für Tickets erzwingen.
- Das krbtgt-Passwort nach einer vermuteten Kompromittierung der Domäne zweimal zurücksetzen.
- Ungewöhnliche Ticket-Anfragen überwachen, etwa viele Service-Tickets von einem einzigen Nutzer.
