Active Directory Kimlik Doğrulama Protokolleri ve Güvenlik Riskleri

Kuruluşların güvenliği sağlamaları ve tehdit risklerini azaltmaları için, Windows kimlik doğrulama protokollerinin güvenlik açıklarını ve zorluklarını anlamak kritik öneme sahiptir. Örneğin, LM ve NTLM protokollerinin içsel kusurları, onları basit saldırılara karşı hassas kılar. Kuruluşların LM ve NTLM kullanımını kısıtlama (hatta kaldırma) stratejisi geliştirmeleri ve güvenlik risklerini sınırlandırmak için Kerberos gibi daha iyi protokollere güvenmeleri önemlidir. Bu blogda, LM, NTLM, NTLMv2 ve Kerberos dahil olmak üzere çeşitli kimlik doğrulama protokollerine bakacağız.,

Windows Active Directory (AD) kimlik doğrulama protokolleri, AD'deki kullanıcıların, bilgisayarların ve hizmetlerin kimliğini doğrular ve yetkili kullanıcıların ve hizmetlerin kaynaklara güvenli bir şekilde erişmesini sağlar.

LM, Microsoft tarafından kullanılan en eski kimlik doğrulama protokolleri arasındadır. Bununla birlikte, hash'lerinin kırılması nispeten kolaydır. Saldırganlar yakalanarak ve hesap oturum açma kimlik bilgilerini almak için onları kırarak saldırganlar ağdaki diğer sistemlere kolayca kimlik doğrulaması yapabilir. LM’yi başarıyla tamamlayan NTLM, müşteri cihazları tarafından ağ oturumları için kullanılan şifreli bir okuma / yanıt tabanlı kimlik doğrulama protokolüdür.  Ancak kırılması kolaydır. NTLMv2, hem kimlik doğrulama hem de oturum güvenliği mekanizmaları açısından NTLM'ye kıyasla önemli bir gelişmedir. Bir sunucunun bir istemciye kimliğini doğrulama yeteneği ekleyerek NTLM'in güvenliğini arttırıldı.

Kerberos kimlik doğrulaması, önceki teknolojilere göre çok büyük bir gelişmedir. Kerberos, istemci, kimlik doğrulama sunucusu ve uygulama sunucusu arasında mesaj alışverişi yaparak kimlik doğrulama sağlar. NTLMv2'ye kıyasla, Kerberos’un güçlü şifreleme ve 3^rd party ticket yetkilendirmesi kullanımı, siber suçluların ağa sızmasını zorlaştırmaktadır ve ek bir güvenlik katmanı sağlamaktadır.

Aşağıdaki tabloda NTLM, NTLMv2 ve Kerberos karşılaştırılmaktadır;