NTLM 是什麼？

NTLM 的歷史與版本

1. LM（LAN Manager）：
• 最早的身份驗證協議，已被視為高度不安全。
• 使用弱加密算法，容易被暴力破解。

2. NTLMv1：
• NTLM 的第一個版本，改進了 LM，但仍存在安全漏洞。
• 使用基於 MD4 的哈希算法。

3. NTLMv2：
• NTLM 的改進版本，增加了安全性。
• 引入了更強的加密和完整性保護機制，但仍然無法防禦中間人攻擊（Man-in-the-Middle, MITM）和中繼攻擊（Relay Attacks）。

注意：在現代 Windows 網絡中，Kerberos 協議已成為主要的身份驗證機制，但 NTLM 仍被保留作為後備身份驗證方式，尤其是在無法使用 Kerberos 或需要兼容舊系統的情況下。

NTLM 的工作原理

1. 身份驗證請求：
• 用戶（或客戶端）向伺服器或域控制器（DC）發送身份驗證請求。

2. 伺服器發送挑戰（Challenge）：
• 伺服器生成一個隨機數（稱為 挑戰碼），並將其發送給客戶端。

3. 客戶端響應（Response）：
• 客戶端使用其密碼的哈希值，對挑戰碼進行加密，生成響應碼，並將其發送回伺服器。

4. 伺服器驗證：
• 伺服器使用存儲在 Active Directory 或本地安全帳戶管理器（SAM）中的用戶密碼哈希值，對客戶端的響應進行驗證。
• 如果挑戰/響應匹配，用戶身份驗證成功。

NTLM 的應用場景

1. 無法使用 Kerberos 的場景：
• 當系統或應用程序不支持 Kerberos 協議。
• 當客戶端無法直接訪問域控制器（例如在跨網段或無法進行 DNS 解析的情況下）。

2. 兼容舊系統：
• 在舊版 Windows 系統（如 Windows NT 4.0、Windows 2000）中，NTLM 是唯一可用的身份驗證協議。

3. 本地身份驗證：
• NTLM 可用於本地帳戶的身份驗證，而不依賴 Active Directory。

4. 後備身份驗證：
• 如果 Kerberos 身份驗證失敗，系統可能回退到 NTLM。

NTLM 的安全問題

1. 無法防禦中間人攻擊（MITM）：
• NTLM 缺乏內置的完整性和加密保護，很容易被中間人攔截和篡改。

2. 易受中繼攻擊（Relay Attack）：
• 攻擊者可以將 NTLM 驗證轉發到其他服務，冒充用戶執行操作。

3. 憑據哈希值攻擊（Pass-the-Hash）：
• NTLM 的身份驗證基於密碼哈希值，而不是密碼本身。
• 如果攻擊者獲得用戶的 NTLM 哈希值，即使不知道明文密碼，也可以直接使用該哈希值進行身份驗證。

4. 弱加密算法：
• NTLM 使用的加密算法（如 MD4）已經過時，容易被暴力破解或彩虹表攻擊。

如何防禦 NTLM 的攻擊

1. 禁用 NTLM（如果可能）

• 在 Active Directory 環境中，考慮禁用 NTLM 身份驗證，強制使用 Kerberos。

• 可以通過組策略（GPO）禁用 NTLM：

2. 啟用 NTLM 保護

• 開啟 NTLM 中繼保護（NTLM Relay Protection） 和 Extended Protection for Authentication (EPA)。

• 限制 NTLM 身份驗證的使用範圍。

3. 強制使用 Kerberos

• 確保所有系統和應用程序支持 Kerberos，並將其作為首選的身份驗證協議。

4. 審計 NTLM 使用

• 使用 Windows 事件日誌審計 NTLM 身份驗證的使用情況，找出依賴 NTLM 的服務和應用程序。

5. 加固憑據管理

• 使用 LSA 保護 防止憑據哈希值被提取。

• 禁止普通用戶訪問高權限賬戶的 NTLM 哈希值。

NTLM 與 Kerberos 的對比

總結