von Redaktion IT-A…
Lesezeit
2 Minuten
Pass-the-Hash-Angriffe vermeiden (1)
Mit einer erfolgreichen Pass-the-Hash-Attacke wird ein Angreifer leicht Administrator der Windows-Domäne. Doch weil es technisch sehr schwierig ist, Inhalte des Arbeitsspeichers zu verteidigen, gibt es für die seit mehr als zwei Jahrzehnten bekannte Sicherheitslücke keinen Patch, sondern nur Empfehlungen für eine bessere Organisation der IT. Denn der ursprünglich sehr aufwändige Pass-the-Hash-Angriff ist heutzutage nur noch eine Sache weniger Klicks. Im ersten Teil der Workshopserie beschäftigen wir uns mit dem grundlegenden Ablauf der Attacke und erklären, warum Admin-Accounts oft nur die erste Anlaufstelle sind.
Pass-the-Hash (PtH) ist nunmehr seit fast 30 Jahren als Angriffsvektor bekannt, doch ist die uralte Problematik praktisch über Nacht kritisch geworden, denn der Angriff war technisch gesehen vor 30 Jahren echte Raketenwissenschaft. Der Angriffshebel existierte zwar, dessen Einsatz war aber fern jeder Realität, da er vor allem im Vergleich zu anderen Angriffsmethoden zu schwierig umzusetzen war. Heute gibt es Werkzeuge wie mimikatz, pwdump und andere, die vor 25 Jahren nicht existierten. Ein PtH-Angriff ist immer noch eine High-End-Technik, aber jetzt erlauben Werkzeuge, dass jedermann einen solchen Angriff mit wenigen Klicks durchführen kann. Das Level des benötigten Wissens ist mit diesen Tools extrem niedrig.
Verraten wir gleich den besten Schutz vor Pass-the-Hash: die interne Organisation. Es gibt keine "Klick-Aus"-Lösung – abgesehen von Credential Guard (CG). Diesen gibt es ab Windows 10, allerdings nur in der Enterprise-Variante, und er erfordert die passende Hardware wie UEFI, TPM et cetera. Viele Administratoren ziehen prinzipiell eine simple Software jeglichem organisatorischen Ansatz vor, andernfalls würde es ja bedeuten, dass sie alte Gewohnheiten ändern müssten – der viel schwierigere Lösungsweg. Gegen Pass-the-Hash gibt es ein paar technische Hebel, die Sie in Bewegung setzen können und die kleine oder auch größere Hürden für den Angreifer generieren, aber am Ende ist alles eine Frage der Organisation.
Doch zurück zum Standard: Nach Eingabe des Kennworts über ein Frontend, die Windows-Anmeldmaske oder auch interaktiv über den Explorer, wird beim Zugriff auf eine Ressource die Eingabe beziehungsweise deren Prüfsumme vom Ziel bestätigt und der Zugriff gewährt oder nicht. Das Ziel prüft und bestätigt also. Der Punkt, der uns jetzt unter anderem als Angriffsvektor dient, ist, wie die Quelle mit der Bestätigung des Ziels umgeht.
Microsoft ist als Single-Sign-on-System ausgelegt, die Eingabe eines Kennworts erfolgt also nur einmalig für die Laufzeit der Sitzung. Die einmalig als richtig bestätigte Information wird gespeichert und anschließend nicht mehr über eine Aktion des Anwenders hinterfragt und erneut angefordert. Die Quelle merkt sich, mit welcher gültigen Prüfsumme auf ein Ziel zugegriffen wurde. Bei jeder weiteren Interaktion mit dem Ziel fragt diese nach den Authentifizierungsdaten und sowohl Ziel als auch Quelle einigen sich darauf, dass die Kenntnis des Hashs völlig ausreicht. Die Übergabe erfolgt automatisch. Die Logik dahinter ist, dass ein Anwender das Kennwort zuvor eingegeben hat, dieses als Hash berechnet und vom Ziel bestätigt wurde. Es ist also keine erneute Eingabe notwendig, denn der Anwender kennt in dieser Logik offensichtlich das Kennwort, sonst gäbe es auch keinen gültigen Hash. Wenn beide das Geheimnis, sprich Endergebnis, kennen, ist es gültig und sicher.
Wir halten fest, dass das Ziel den Hash nur bestätigen muss und danach jegliche Information auf der Quelle liegt. Alle Verbindungsinformationen liegen in deren Speicher. Hier kommt Pass-theHash ins Spiel, indem es nicht das Ziel angreift, sondern die Quelle. Es wird keine Kennwortattacke gefahren, in der Kennworte probiert werden, sondern es wird einfach direkt die Verbindungsinformation inklusive Hash ausgelesen, bei der der Angreifer schon weiß, dass diese Informationen funktionieren und gültig sind.
jp/ln/Mark Heitbrink
Verraten wir gleich den besten Schutz vor Pass-the-Hash: die interne Organisation. Es gibt keine "Klick-Aus"-Lösung – abgesehen von Credential Guard (CG). Diesen gibt es ab Windows 10, allerdings nur in der Enterprise-Variante, und er erfordert die passende Hardware wie UEFI, TPM et cetera. Viele Administratoren ziehen prinzipiell eine simple Software jeglichem organisatorischen Ansatz vor, andernfalls würde es ja bedeuten, dass sie alte Gewohnheiten ändern müssten – der viel schwierigere Lösungsweg. Gegen Pass-the-Hash gibt es ein paar technische Hebel, die Sie in Bewegung setzen können und die kleine oder auch größere Hürden für den Angreifer generieren, aber am Ende ist alles eine Frage der Organisation.
Der Pass-the-Hash-Mechanismus
Warum Pass-the-Hash als enorm effektiver Angriff funktioniert, zeigt sich, wenn wir das Vorgehen skizzieren und einige technische Grundlagen klären. Windows speichert Benutzeranmeldekennworte als Hash, also als Prüfsumme und nicht im Klartext. Eine Ausnahme bildet hier der Fall, wenn der Administrator die Checkbox "Kennwort speichern" bei einer RDPVerbindung über "mstsc.exe" aktiviert oder die Kennwortspeicherung für Out-look/Office365-Konten und Webkonten über die Anmeldeinformationsverwaltung (Anmeldetresor) nutzt. Das ist eine andere Technik und ein anderes Problem, über das wir später noch reden.
Doch zurück zum Standard: Nach Eingabe des Kennworts über ein Frontend, die Windows-Anmeldmaske oder auch interaktiv über den Explorer, wird beim Zugriff auf eine Ressource die Eingabe beziehungsweise deren Prüfsumme vom Ziel bestätigt und der Zugriff gewährt oder nicht. Das Ziel prüft und bestätigt also. Der Punkt, der uns jetzt unter anderem als Angriffsvektor dient, ist, wie die Quelle mit der Bestätigung des Ziels umgeht.
Microsoft ist als Single-Sign-on-System ausgelegt, die Eingabe eines Kennworts erfolgt also nur einmalig für die Laufzeit der Sitzung. Die einmalig als richtig bestätigte Information wird gespeichert und anschließend nicht mehr über eine Aktion des Anwenders hinterfragt und erneut angefordert. Die Quelle merkt sich, mit welcher gültigen Prüfsumme auf ein Ziel zugegriffen wurde. Bei jeder weiteren Interaktion mit dem Ziel fragt diese nach den Authentifizierungsdaten und sowohl Ziel als auch Quelle einigen sich darauf, dass die Kenntnis des Hashs völlig ausreicht. Die Übergabe erfolgt automatisch. Die Logik dahinter ist, dass ein Anwender das Kennwort zuvor eingegeben hat, dieses als Hash berechnet und vom Ziel bestätigt wurde. Es ist also keine erneute Eingabe notwendig, denn der Anwender kennt in dieser Logik offensichtlich das Kennwort, sonst gäbe es auch keinen gültigen Hash. Wenn beide das Geheimnis, sprich Endergebnis, kennen, ist es gültig und sicher.
Wir halten fest, dass das Ziel den Hash nur bestätigen muss und danach jegliche Information auf der Quelle liegt. Alle Verbindungsinformationen liegen in deren Speicher. Hier kommt Pass-theHash ins Spiel, indem es nicht das Ziel angreift, sondern die Quelle. Es wird keine Kennwortattacke gefahren, in der Kennworte probiert werden, sondern es wird einfach direkt die Verbindungsinformation inklusive Hash ausgelesen, bei der der Angreifer schon weiß, dass diese Informationen funktionieren und gültig sind.
| Seite 1 von 2 | Nächste Seite >> |
jp/ln/Mark Heitbrink
