Der integrierte Passwortrotationsmechanismus von Microsoft dient dem Schutz von lokalen Non-Human Identities (NHIs), wie z. B. Computerkonten in Active Directory (AD). Oberflächlich betrachtet handelt es sich um eine starke Verteidigung – automatisiert, geplant und strukturiert, um Sicherheitsrisiken zu minimieren. Diese Schutzmaßnahme kann jedoch unterlaufen werden, sodass Angreifer dauerhaft Fuß fassen können.
Ein Angreifer kann den Rotationsprozess einer gesamten Umgebung oder eines bestimmten Computerkontos durch einen Man-in-the-Middle-Angriff (MITM) manipulieren. Angreifer können den Prozess auch vollständig umgehen, indem sie die Passwörter der Computerkonten kompromittieren und direkt ändern. So kapern sie den Rotationsmechanismus, ohne den Netzwerkverkehr zu beeinträchtigen.
Durch Manipulation der Zeitsynchronisierung oder direkte Änderung von Passwörtern können Angreifer stören oder Übernehmen Sie die Kontrolle über den Passwortrotationsprozess. Zeitmanipulation verhindert geplante Rotationen, während direkte Modifikationen die Kontrolle über bestimmte Konten ermöglichen – wodurch eine langfristige Persistenz ermöglicht und eine Erkennung vermieden wird.
Sicherheitskontrollen der NHIs vor Ort
Service Accounts sind nicht-menschliche Identitäten, die zum Ausführen von Anwendungen, Diensten und automatisierten Aufgaben in einer lokalen AD-Umgebung verwendet werden. Diese Konten verwenden oft statische Passwörter, die sich nie ändern, was erhebliche Sicherheitsrisiken birgt. Einmal kompromittiert, können Angreifer diese Anmeldeinformationen für Folgendes verwenden:
- Diebstahl & Seitliche Bewegung: Nutzen Sie die Berechtigungen des Kontos, um sich seitlich zu bewegen.
- Privilegien Eskalation: Erlangen von Administratorzugriff durch erhöhte Berechtigungen.
- Langfristige Persistenz: Aufrechterhaltung des Zugriffs ohne Erkennung oder Ablauf.
Um solche Risiken zu minimieren, sorgt die Passwortrotation dafür, dass sich die Kontoanmeldeinformationen regelmäßig ändern. Es gibt zwei Haupttypen von Konten, die eine Passwortrotation implementieren:
- Maschinenkonten: Stellen Computer dar, die einer Domäne beigetreten sind. Kennwortänderungen werden vom lokalen Betriebssystem verwaltet.
- Verwaltete Dienstkonten (MSAs): Für Dienste und Anwendungen konzipiert; die Kennwortrotation wird vom Domänencontroller (DC) erzwungen.
| Kontotyp | Zweck | Wer verwaltet die Rotation? |
| Maschinenkonten | Computer AD-Authentifizierung innerhalb der Domäne | Lokales Betriebssystem |
| Eigenständige MSAs | Einzelserver-Anwendungsauthentifizierung | Domänencontroller (DC) |
| Gruppen-MSAs (gMSAs) | Gemeinsame Nutzung durch mehrere Maschinen | Domänencontroller (DC) |
| Delegierte MSAs | Erweiterung von gMSAs mit delegierter Administratorkontrolle | Domänencontroller (DC) |
Das Verständnis dieser Unterschiede ist entscheidend, da Angreifer Rotationsmechanismen je nach Kontotyp unterschiedlich ausnutzen. Beispielsweise können Maschinenkonten über RPC-Methoden wie MS-SAMR gekapert werden, während MSAs eine Manipulation des DC-Rotationsprozesses erfordern.
Angriffsvektor 1: Deaktivieren der Passwortrotation für Computerkonten
In Active DirectoryDie Rotation der Computerkontokennwörter liegt in der Verantwortung des Clientsystems, in der Regel eines in die Domäne eingebundenen Windows-Hosts. Das lokale Betriebssystem rotiert sein Computerkontokennwort standardmäßig alle 30 Tage automatisch. Dazu kommuniziert es remote mit dem Domänencontroller (DC) über das Security Account Manager Remote Protocol (MS-SAMR) über RPC.
Dieses Protokoll bietet eine Reihe von Verwaltungsvorgängen für die Verwaltung von Benutzer- und Computerkonten in Active DirectoryEine der wichtigsten Funktionen, die der Client zum Durchführen von Remote-Passwortaktualisierungen verwendet, ist hSamrUnicodeChangePasswordUser2, mit der der authentifizierte Client das mit seinem Computerkonto im Verzeichnis verknüpfte Passwort ändern kann.
Mechanik des Angriffs
Dieser Mechanismus kann jedoch missbraucht werden. Sobald ein Angreifer Zugriff auf das Computerkonto erhält, kann er MS-SAMR verwenden und gezielt hSamrUnicodeChangePasswordUser2 aufrufen, um das Kontokennwort direkt zu ändern in Active Directory, ohne den ursprünglichen Client zu benachrichtigen oder einzubeziehen. Dadurch wird die Synchronisierung zwischen dem der Domäne beigetretenen Computer und dem DC unterbrochen, was zu einer einseitigen Vertrauensbeziehung führt, bei der der Angreifer die Anmeldeinformationen kontrolliert und der legitime Host ausgesperrt wird.
Dadurch wird das Vertrauen zwischen Maschine und DC zerstört. Beide speichern eine Kopie des Passworts, und unbefugte Änderungen führen zu einer Nichtübereinstimmung. Das AD-Objekt bleibt unbegrenzt gültig und gewährleistet so dauerhaften Zugriff.
Sobald die Rotation deaktiviert ist, bleibt das Konto gültig, auch wenn keine weiteren Kennwortänderungen erfolgen. Durch das gebrochene Vertrauen ist der kompromittierte Computer unbrauchbar.
Manipulation der Passwortrotation mit Zeitangriffen
Um die Sicherheit der Dienstanmeldeinformationen zu verbessern, hat Microsoft in Windows Server 2008 R2 eigenständige MSAs eingeführt. MSAs nutzen den DC für die Kennwortverwaltung, doch diese Zentralisierung führt zu neuen Angriffsmethoden.
Durch Manipulation der Systemzeit auf dem DC oder dem Service-Host können Angreifer geplante Passwortänderungen verzögern. Da AD auf Zeitstempeln basiert, verzögert das Zurückdrehen der Uhr die Rotation und gewährleistet so den Zugriff.
Auswirkungen der Zeit auf die Passwortrotation
Active Directory verwendet das Attribut „PwdLastSet“, um zu ermitteln, wann die Anmeldeinformationen eines Kontos zuletzt rotiert wurden. Dieser Zeitstempel ist entscheidend für die Durchsetzung von Kennwortablaufrichtlinien. Eine genaue Zeitsynchronisierung ist für AD-Vorgänge, einschließlich Kennwortrichtlinien und Kerberos- Authentifizierung.
Die Rolle von NTP bei der Zeitsynchronisation
Unternehmen verlassen sich in der Regel auf externes NTP, um die Zeitgenauigkeit zu gewährleisten. Windows verwendet standardmäßig NTP Version 3, das keinen Schutz der Nachrichtenintegrität bietet.
Übersicht über die Windows-Zeitsynchronisierung (w32tm)
Der Windows-Zeitdienst (w32tm) synchronisiert die Domänenzeit. Dabei übernimmt der Domänencontroller zwei Aufgaben:
- Fungiert als Zeitserver und verteilt die Zeit an Domänenmitglieder.
- Synchronisiert mit externen NTP-Servern als Zeitclient.
Zu den wichtigsten Sicherheitsparametern gehören:
- MaxPosPhaseCorrection und MaxAllowedPhaseOffset: Maximal zulässige Zeitanpassungen pro Synchronisierung.
- Sichere Zeiterfassung (STS): Verwendet TLS-Zeitstempel zur Manipulationserkennung, ist jedoch eingeschränkt, insbesondere nach TLS 1.3.
Unterbrechung der Passwortrotation durch Domänenzeitmanipulation
MITM-Angriffe zwischen dem DC und der NTP-Quelle können die Uhrzeit des DC allmählich verschieben, ohne dass dies erkannt wird. w32tm ermöglicht bis zu 48 Stunden Korrektur pro Synchronisierung, aktualisiert alle 64 Sekunden.
Angriffsvektor 2: Zeitmanipulation der MSA-Passwortrotation
Der Angreifer manipuliert zunächst die Uhr des DC und löst dann die Kennwortrotation durch eine der folgenden Methoden aus:
- Direktanfrage: Ein Benutzer oder ein Dienst mit Berechtigungen für das verwaltete Dienstkonto.
- Natürlicher Auslöser: Ermöglicht dem verwalteten Dienstkonto die natürliche erneute Authentifizierung.
Wenn Anmeldeinformationen rotiert werden, während die Systemzeit künstlich vorgestellt wird, spiegelt PwdLastSet diesen zukünftigen Zeitstempel wider. Durch das Zurückstellen der Uhr wird die nächste geplante Rotation effektiv verzögert und die Durchsetzung umgangen.
Hauptvorteil
Alle Domänenmitglieder werden mit dem Domänencontroller synchronisiert. Dabei wird die Kerberos-Authentifizierung aufrechterhalten und die Erkennung minimiert. Diese Synchronisierung maskiert die Zeitmanipulation durch Endpunktsysteme und gewährleistet so Tarnung und Servicekontinuität.
Folgen des Angriffs
Diese Angriffe können zu einer langfristigen Persistenz innerhalb der Umgebung führen, indem Ablaufkontrollen durch Zeitstempelmanipulation umgangen werden. Sobald ein Angreifer Anmeldeinformationen mit einer geänderten Zeiteinstellung rotiert, verhindern nachfolgende Rollbacks weitere Rotationen und machen so die Sicherheitsdurchsetzung zunichte. Die Gesperrter Account funktioniert weiterhin mit einem gültigen Token, ohne dass dies erkannt wird.
Neben der Persistenz ermöglicht eine solche zeitbasierte Manipulation auch die Umgehung von Kennwortrichtlinien und eine potenzielle Rechteausweitung. Das Zurücksetzen der Systemuhren kann zudem zu zeitweiligen Dienstausfällen und Authentifizierungsproblemen führen, was zu Betriebsstörungen führt und die Erkennung erschwert.
Minderungsstrategien
Organisationen sollten eine sichere Zeitsynchronisierung mithilfe authentifizierter NTP-Protokolle wie NTPv4 implementieren, das die Nachrichtenintegrität und Authentifizierung unterstützt. Die Überwachung kritischer Ereignisprotokolle kann auch dazu beitragen, ungewöhnliches Verhalten zu erkennen: Besonders relevant sind die Ereignis-ID 4616 (zeigt Zeitänderungen an) und die Ereignis-ID 4742 (zeigt Kennwortänderungen für Computerkonten an).
Implementieren Sie außerdem eine Überwachung auf abnormale PwdLastSet-Muster für alle Dienst- und Computerkonten. Diese Indikatoren können Versuche aufdecken, Rotationspläne zu manipulieren oder heimlichen Zugriff zu gewährleisten. Mit diesen Maßnahmen lässt sich das Risiko heimlicher, zeitbasierter Angriffe deutlich reduzieren.
