LdapSignCheck 工具簡介
LdapSignCheck 是一款用於檢測 Active Directory 環境中 LDAP 簽名和加密 配置的工具。因為 LDAP（輕量級目錄訪問協議）是 Active Directory 的核心協議之一，其安全性配置對防止中間人攻擊（Man-in-the-Middle, MITM）和憑據竊取至關重要。該工具的主要作用是幫助系統管理員或安全測試人員快速檢查域控制器（Domain Controller, DC）是否配置了安全的 LDAP 簽名和加密設置，從而防止潛在的攻擊。
LDAP 簽名和加密的背景
LDAP 簽名
- LDAP 簽名 是對 LDAP 通信進行完整性保護的一種方式，確保通信未被篡改。
- 如果未啟用 LDAP 簽名，攻擊者可以在未加密的 LDAP 會話中進行中間人攻擊，竊取或篡改數據。
- 微軟建議將 LDAP 簽名配置為 必要（Required），而不是可選（None）。
LDAP 加密
- LDAP 加密 通過啟用 LDAPS（LDAP over SSL/TLS），確保 LDAP 通信的機密性，防止數據在傳輸過程中被攔截。
- 如果未啟用 LDAP 加密，LDAP 數據（包括用戶名、密碼等憑據）可能會以明文形式傳輸。
LdapSignCheck 的作用
LdapSignCheck 用於檢查以下配置項：- LDAP 簽名要求是否啟用：
- 檢查域控制器是否被配置為要求 LDAP 簽名。
- 相關組策略：
- Domain controller: LDAP server signing requirements
- 可選值：
- None：不要求簽名（不安全）。
- Require signing：要求所有 LDAP 客戶端簽名請求（安全）。
- LDAP 加密是否啟用：
- 檢查域控制器是否支持 LDAPS（LDAP over SSL/TLS）。
- 測試 LDAPS 是否正確配置並可用。
- LDAP 客戶端配置：
- 檢查 LDAP 的客戶端是否支持簽名和加密，並是否正確配置。
使用方法
運行 LdapSignCheck
- 下載工具：
- 如果工具是內部開發的（或從開源項目獲取），確保從可信來源下載。
- 執行命令：
- 打開命令行或 PowerShell，運行以下命令檢查 LDAP 簽名和加密配置：
- 分析輸出：
- 工具會檢測：
- 是否啟用了 LDAP 簽名。
- 是否支持 LDAP 加密。
- 是否存在不安全的配置。
常見輸出解釋
- 如果檢測到安全配置：
- 工具可能輸出如下信息：
- LDAP 簽名已配置為必須。
- LDAPS 已啟用，並成功接受測試連接。
- 配置無安全風險。
解釋：
- 如果檢測到不安全配置：
- 工具可能輸出如下信息：
- LDAP 簽名未被啟用，可能允許未簽名的 LDAP 請求，容易受到中間人攻擊。
- LDAPS 未啟用，LDAP 通信可能以明文形式進行，存在數據泄露風險。
解釋：
LDAP 不安全配置的風險
- 中間人攻擊（MITM）：
- 如果 LDAP 不啟用簽名或加密，攻擊者可以攔截並篡改 LDAP 通信。
- 憑據泄露：
- 未加密的 LDAP 可能以明文形式傳輸用戶名和密碼，攻擊者可通過流量分析獲取這些憑據。
- 數據篡改：
- 未簽名的 LDAP 請求可能被篡改，導致不正確的身份驗證或授權。
修復建議
1. 啟用 LDAP 簽名
- 配置域控制器組策略，要求 LDAP 簽名：
- 打開 組策略管理控制台。
- 尋找組策略路徑：
- 修改：
- 設置為 Require signing。
2. 啟用 LDAPS
- 配置域控制器支持 LDAPS：
- 在域控制器上安裝 SSL/TLS 證書（通常由內部 CA 或第三方 CA 簽發）。
- 確保域控制器的 636 端口開放，並接受 LDAPS 請求。
3. 測試配置
- 使用工具（如
LdapSignCheck或其他工具）測試修復後的配置，確保 LDAP 簽名和加密正確啟用。
4. 禁止未加密的 LDAP
- 如果所有應用程序和客戶端均支持 LDAPS，考慮禁用明文 LDAP（端口 389）。
總結
LdapSignCheck 是一個非常實用的工具，用於快速檢測 Active Directory 環境中 LDAP 簽名和加密的安全配置。它幫助系統管理員識別可能導致中間人攻擊或數據泄露的錯誤配置，並提供修復的參考依據。對於域內的安全性，建議：
- 強制啟用 LDAP 簽名。
- 使用 LDAPS 保護 LDAP 通信。
- 定期審計 Active Directory 的安全配置，防止錯誤配置導致的潛在攻擊風險。