LDAP (Lightweight Directory Access Protocol) — відкритий стандартний протокол для запитів до служб каталогів і зміни їхніх даних про користувачів, групи, комп’ютери та інші мережеві ресурси.
Як працює LDAP
Каталог організовує записи в дерево; кожен запис ідентифікується відмітним іменем (DN), наприклад cn=Alice,ou=Staff,dc=example,dc=com, і містить атрибути: адресу пошти, членство в групах чи хеш пароля. Клієнти підключаються до LDAP-сервера, проходять автентифікацію (bind), а потім шукають, додають або змінюють записи. LDAPv3 описано в RFC 4511 і пов’язаних документах. LDAP використовує TCP-порт 389, LDAPS (LDAP поверх TLS) — порт 636. LDAP підтримують Microsoft Active Directory, OpenLDAP і багато платформ керування ідентифікацією, а застосунки, VPN і принтери часто перевіряють через нього облікові дані користувачів.
Чому LDAP важливий для безпеки
- Облікові дані відкритим текстом — проста прив’язка (simple bind) через незашифрований LDAP передає паролі відкритим текстом. Microsoft закликає адміністраторів вмикати підписування LDAP і прив’язку каналів на кожному контролері домену.
- Розвідка — будь-який автентифікований користувач домену може запитувати AD через LDAP; збирачі даних BloodHound використовують це, щоб побудувати мапу користувачів, груп і шляхів атаки (MITRE ATT&CK T1087.002).
- LDAP-ін’єкція (CWE-90) — як і за інших видів впровадження коду, неочищене введення в пошукових фільтрах дає змогу оминути автентифікацію або отримати дані.
- Log4Shell — вразливість Log4j (CVE-2021-44228) 2021 року зазвичай експлуатували через JNDI-запити, що завантажували код зловмисника зі шкідливих LDAP-серверів.
- Підсилення DDoS — відкритий LDAP без встановлення з’єднання (CLDAP, UDP 389) використовують в атаках з відбиттям.
Рекомендації
- Вимагати LDAPS або StartTLS, увімкнути підписування й прив’язку каналів.
- Використовувати для інтеграцій з LDAP окремі сервісні облікові записи з мінімальними привілеями й за можливості надавати перевагу Kerberos або сучасній федерації.
- Екранувати спеціальні символи в LDAP-фільтрах, побудованих із користувацького введення.
- Ніколи не відкривати порти LDAP в інтернет і відстежувати незвичні масові запити.
