Nachteile bei Deaktivierung des NTLM Hash?

[Gast]

Hallo,

 

man kann per GPO den NTLM Hash deaktivieren, damit das Kennwort cracken erschwert wird.

Anschließend muss das Kennwort geändert werden, damit der Hash gelöscht wird.

 

Hat dieses Deaktivieren des NTLM Hash irgendwelche Nachteile?

Wir nutzen nur Server ab Windows 2000 SP4 /überwiegend 2003 SP2, Clients XP SP2.

 

Viele Grüße

Stefan

[NorbertFe 2.035]

Hat dieses Deaktivieren des NTLM Hash irgendwelche Nachteile?

 

Ja, man kann ihn nicht mehr per Bruteforce bearbeiten ;)

 

 

Bye

Norbert

[Gast]

Hehe, genau deswegen möchte ich das ja durchführen.

 

Ansonsten sind keine Nachteile bekannt?

[NorbertFe 2.035]

Ausser denen, die hier dokumentiert sind, kenne ich keine:

How to prevent Windows from storing a LAN manager hash of your password in Active Directory and local SAM databases

 

Bye

Norbert

[rakli 13]

Hier zwei interessante Links:

 

http://support.microsoft.com/kb/299656

 

 

http://www.microsoft.com/germany/technet/sicherheit/newsletter/kennwoerter2.mspx

 

Rakli

[grizzly999 11]

Hallo,

 

man kann per GPO den NTLM Hash deaktivieren, damit das Kennwort cracken erschwert wird.

Du meinst den LM-Hash. Und dann gibt es nochden NT-Hash, und die Authentifizierung heißt NTLM_Authentifizierung ;)

 

Aber wenn du keine alten Clients mehr hast oder keine Verbidnung zu OS/2, dann brauchst du den LM-HASHnicht mehr.

 

grizzly999

[Gast]

Genau das meinte ich doch, grizzly :D

 

Habt dank, wir brauchen den LM Hash nicht. Ich werde ihn deaktivieren.

[Dukel 454]

Es gibt natürlich auch einen ntlm hash, da ntlm auch mit hashes arbeitet.

Diesen kann man in der Version 1 auch per GPO deaktivieren, indem man nur noch ntlm v2 erlaubt.

[grizzly999 11]

Es gibt natürlich auch einen ntlm hash, da ntlm auch mit hashes arbeitet.

Diesen kann man in der Version 1 auch per GPO deaktivieren, indem man nur noch ntlm v2 erlaubt.

 

Du darfst mir ruhig glauben, ich weiß in dem Fall ziemlich genau, was ich schreibe.

Ansonsten empfehle ich dir auch die ganzen Artikel und Bücher und Security Resource Kits (einige Zig an der Zahl) dazu durchzulesen, so wie ich es die letzten 10 Jahre ununterbrochen getan habe :wink2:

Besonders gut zu diesem Thema die Artikel von Jesper Johannson, teilw. auch von Steve Riley.

 

grizzly999

[solinske 10]

Hash Attacken sind echt ein alter Hut nur so nebenbei! Man sollte nur noch Kerberos V5 zur Authentiizierung nutzen. Was Grizzly gesagt hat kann ich nur empfehlen, denn die Artiekl/Bücher/Session von Jesper Johanson sind absolut Pflicht. Dort wird auch erklärt, dass ein saltet Hásh keine Alternative ist.

 

Sicherheit flächendeckend zu implementieren ist ein langer und gut geplanter Prozess.

[NilsK 2.937]

Moin,

 

Hash Attacken sind echt ein alter Hut nur so nebenbei! Man sollte nur noch Kerberos V5 zur Authentiizierung nutzen.

[...]

Dort wird auch erklärt, dass ein saltet Hásh keine Alternative ist.

 

sorry, aber knapp vorbei ist auch daneben.

 

AD legt Kennwörter als Hashes in seiner Datenbank ab. Darum geht es. Das hat mit dem Authentifizierungsprotokoll erst mal nichts zu tun. Auch im Fall von Kerberos ist eine Kennwortauthentisierung nötig, es sei denn man hat auf Smartcards o.ä. umgestellt.

 

Gruß, Nils

[olc 18]

Hi,

 

da möchte ich mich Nils anschließen - als kleiner Querverweis dazu sei noch die Datenschleuder #93 genannt, die auf Seite 34 auf das Problem (bei lokalen Konten) eingeht.

 

Im Grunde ist es aber das gleiche Problem in AD Umgebungen - dort muß der Zugriff auf die AD-Objekte bzw. konkret die jeweiligen Attribute / die Datenbank oder den LSASS-Prozess entsprechend möglich sein, was jedoch mit etwas Arbeit eines "Profis" theoretisch möglich ist. Die Registirerung ist auf DCs auch ein Thema, da dort das Konto des Wiederherstellungskontos gespeichert ist (lokale SAM).

 

Den LM-Hash zu deaktivieren ist also schon einmal eine gute Sache, das steigert die Sicherheit, selbst wenn der NTLM-Hash dann immer noch "gebrochen" werden kann - hier ist jedoch mehr Rechenpower bzw. Aufwand notwendig als beim LM-Hash. Starke Kennwörter bieten dann bei NTLM noch eine Sicherheitssteigerung, das Verschlüsseln der HDD bei DCs ist eine weitere Schutzmaßnahme (falls diese entwendet werden). Gleiches gilt natürlich auch für die Backups der Systeme.

 

Viele Grüße

olc

[solinske 10]

Man könnte auch einfach sehr lange Kennwörter nutzen, dann ist die Sache auch schnell erledigt ;-)

[olc 18]

Hi,

 

das habe ich oben schon geschrieben. ;)

 

Allein lange Kennwörter helfen jedoch nicht, das ist heutztage nur ein kleiner Stolperstein - LM-Hash hat kein "salt", wenn ich mich recht entsinne. Daher ist ein Angriff keine "große Sache" - Stichwort "rainbow tables" etc.

 

Zusätzlich helfen Dir längere Kennwörter bei LM-Hash auch recht wenig, da diese in mehrere Teile gesplittet werden, die wiederum "unabhängig" voneinander angegriffen werden können. Lediglich Kennwörter größer 16-Zeichen helfen da, jedoch wären dann Applikationen, die LM-Hash nutzen wollen, eh außen vor. Von daher kann man es also gleich Deaktivieren.

 

Eine Einzelmaßnahme ist jedoch nicht viel Wert, es muß immer ein Gesamtkonzept erarbeitet werden. Das Deaktivieren eines "schwachen Hashes" wie dem LM-Hash ist da nur eine Komponente.

 

Das Deaktivieren macht etwa wenig Sinn, wenn man danach nicht alle Kennwörter vom Computer- und Benutzerkonten ändert. Das vergessen meiner Erfahrung nach viele Unternehmen. Gerade bei Service-Accounts verzichten viele Firmen darauf - und genau diese Accounts sind recht gefährdet, denn der alte Hash ist demnach immer noch gültig, bis irgendwann vielleicht doch einmal eine Kennwortänderung erfolgt.

 

Viele Grüße

olc

[grizzly999 11]

Lediglich Kennwörter größer 16-Zeichen helfen da, jedoch .....

Kennwörter länger als 14 Zeichen ;) Für den LM-Hash werden die Kennwörter in 2x 7 Zeichen lange Chunks gesplittet.

 

Allein lange Kennwörter helfen jedoch nicht, .....

Das stimmt haargenau, gilt aber auch für NT-Hashes. Wenn man die Hashes hat, ist man bereits gehackt! :eek:

Ein "guter" Angreifer braucht die Hashes nicht mehr Hacken, der startet den Angriff nur allein mit dem Hash. Habe ich auch schon ein paar mal demonstriert. Dabei kann das Kennwort auch volle 127 Zeichen lang sein. Das würde ich nie cracken können, aber authentifizieren kann ich mich damit problemlos.

 

Von daher ist die Deaktivierung des LM-Hashes zwar eine klitzekleine Maßnahme, mehr aber auch nicht. Wichtiger ist: es erst dar niemand an die Hashes kommen, was aber im Bereich der lokalen Rechner sehr schwierig bis gar nicht zu verwirklichen ist.

 

Wie olc es sagte, ein Security-Konzept diesen Bereich betreffend muss umfassend und weitreichend sein, ansonsten sind Aktionen wie Deaktivieren von bestimmten Hashes oder Unterbinden von bestimmten Authentifizierungsverfahren unnützer Aktionismus.

 

grizzly999