Kerberos es un protocolo de autenticación de red que utiliza tickets cifrados emitidos por un servidor de confianza, de modo que los usuarios prueban su identidad ante los servicios sin enviar contraseñas por la red.
Cómo funciona Kerberos
Kerberos nació en el MIT en los años ochenta; la versión 5 (RFC 4120) es el protocolo de autenticación predeterminado de Active Directory en Windows. Un Centro de Distribución de Claves (KDC) de confianza, que en Windows se ejecuta en cada controlador de dominio, emite dos tipos de tickets:
- Ticket de concesión de tickets (TGT): el usuario lo recibe al iniciar sesión y está cifrado con la clave de la cuenta especial krbtgt.
- Tickets de servicio: se solicitan con el TGT para cada servicio (recurso compartido, servidor SQL, aplicación web) y se cifran con la clave de la cuenta de ese servicio.
Los tickets tienen una validez limitada y contienen marcas de tiempo, lo que protege frente a los ataques de repetición. Kerberos suele usar el puerto 88.
Por qué Kerberos importa para la seguridad
Como es la columna vertebral de la autenticación corporativa, los atacantes lo explotan tras el compromiso inicial. MITRE ATT&CK recoge varias técnicas bajo T1558 (Steal or Forge Kerberos Tickets):
- Kerberoasting (T1558.003): solicitar tickets de servicio y descifrar sin conexión las contraseñas de las cuentas de servicio.
- AS-REP roasting (T1558.004): atacar cuentas que no requieren autenticación previa.
- Golden Ticket (T1558.001): falsificar cualquier TGT con el hash robado de krbtgt, lo que otorga control total del dominio.
- Silver Ticket (T1558.002): falsificar tickets de servicio para un único servicio.
Los ataques pass-the-ticket reutilizan tickets robados para el movimiento lateral.
Cómo proteger Kerberos
- Usar contraseñas largas y aleatorias o cuentas de servicio administradas (gMSA) para las cuentas de servicio.
- Deshabilitar RC4 y exigir cifrado AES para los tickets.
- Restablecer dos veces la contraseña de krbtgt tras una sospecha de compromiso del dominio.
- Vigilar solicitudes inusuales, como muchos tickets de servicio pedidos por un mismo usuario.
