El Lightweight Directory Access Protocol (LDAP) es un protocolo estándar abierto para consultar y modificar servicios de directorio con datos de usuarios, grupos, equipos y otros recursos de red.
Cómo funciona LDAP
Un directorio organiza las entradas en árbol; cada una se identifica con un nombre distintivo (DN) como cn=Alice,ou=Staff,dc=example,dc=com y contiene atributos como el correo, la pertenencia a grupos o el hash de la contraseña. Los clientes se conectan a un servidor LDAP, se autentican («bind») y después buscan, añaden o modifican entradas. LDAPv3 se define en el RFC 4511 y documentos relacionados. LDAP usa el puerto TCP 389, y LDAPS (LDAP sobre TLS), el 636. Active Directory de Microsoft, OpenLDAP y muchas plataformas de identidad exponen LDAP, y aplicaciones, VPN e impresoras lo usan a menudo para comprobar credenciales.
Por qué importa LDAP para la seguridad
- Credenciales en claro: los binds simples sobre LDAP sin cifrar envían las contraseñas en texto claro. Microsoft insta a exigir la firma LDAP y el channel binding en cada controlador de dominio.
- Reconocimiento: cualquier usuario autenticado del dominio puede consultar AD por LDAP; los recolectores de BloodHound lo aprovechan para mapear usuarios, grupos y rutas de ataque (MITRE ATT&CK T1087.002).
- Inyección LDAP (CWE-90): como otras formas de inyección de código, una entrada sin sanear en los filtros de búsqueda puede eludir la autenticación o exponer datos.
- Log4Shell: el fallo de Log4j de 2021 (CVE-2021-44228) se explotaba normalmente con búsquedas JNDI que cargaban código del atacante desde servidores LDAP maliciosos.
- Amplificación DDoS: el LDAP sin conexión expuesto (CLDAP, UDP 389) se usa en ataques de reflexión.
Buenas prácticas
- Exigir LDAPS o StartTLS e imponer la firma y el channel binding.
- Usar cuentas de servicio dedicadas con mínimo privilegio para las integraciones LDAP y preferir Kerberos o federación moderna cuando sea posible.
- Escapar los caracteres especiales en los filtros LDAP construidos con datos del usuario.
- No exponer nunca los puertos LDAP a internet y vigilar las consultas masivas inusuales.
