Kerberos — мережевий протокол автентифікації, який використовує зашифровані квитки від довіреного сервера, щоб користувачі підтверджували свою особу сервісам, не передаючи паролі мережею.
Як працює Kerberos
Kerberos створили в MIT у 1980-х роках; п’ята версія описана в RFC 4120 і є основним протоколом автентифікації у Windows Active Directory. Довірений центр розподілу ключів (Key Distribution Center, KDC), який у Windows працює на кожному контролері домену, видає два типи квитків:
- Квиток на отримання квитків (TGT) — користувач отримує його після входу в систему; квиток зашифрований ключем спеціального облікового запису krbtgt.
- Сервісні квитки — запитуються за допомогою TGT для кожного сервісу (файловий ресурс, SQL-сервер, вебзастосунок) і шифруються ключем облікового запису цього сервісу.
Квитки діють обмежений час і містять часові мітки, що захищає від атак повторного відтворення. Зазвичай Kerberos працює на порту 88.
Чому Kerberos важливий для безпеки
Kerberos — основа корпоративної автентифікації, тому після початкового проникнення атакувальники беруться саме за нього. У MITRE ATT&CK кілька технік зібрано під T1558 (Steal or Forge Kerberos Tickets):
- Kerberoasting (T1558.003) — запит сервісних квитків і офлайн-підбір паролів сервісних облікових записів.
- AS-REP Roasting (T1558.004) — атака на облікові записи, для яких вимкнено попередню автентифікацію.
- Golden Ticket (T1558.001) — підробка будь-якого TGT за допомогою викраденого хешу krbtgt, що дає повний контроль над доменом.
- Silver Ticket (T1558.002) — підробка сервісних квитків для окремого сервісу.
Атаки pass-the-ticket повторно використовують викрадені квитки для горизонтального переміщення мережею.
Як захистити Kerberos
- Використовувати для сервісних облікових записів довгі випадкові паролі або керовані облікові записи (gMSA).
- Вимкнути RC4 і вимагати шифрування квитків алгоритмом AES.
- Після підозри на компрометацію домену двічі змінити пароль krbtgt.
- Відстежувати незвичні запити квитків, наприклад велику кількість сервісних квитків від одного користувача.
