Le mécanisme de rotation des mots de passe intégré de Microsoft est conçu pour protéger les identités non humaines (NHI) sur site, telles que les comptes de machines dans Active Directory (AD). À première vue, cette défense semble solide : automatisée, planifiée et structurée pour minimiser les risques de sécurité. Cependant, cette protection peut être contournée, permettant ainsi aux attaquants de s'implanter durablement.
Un attaquant peut manipuler le processus de rotation sur l'ensemble d'un environnement ou sur un compte machine spécifique grâce à une attaque de type « Man-in-the-Middle » (MITM). Il peut également contourner complètement le processus en compromettant les mots de passe des comptes machines et en les modifiant directement, piratant ainsi le mécanisme de rotation sans perturber le trafic réseau.
En manipulant la synchronisation temporelle ou en modifiant directement les mots de passe, les attaquants peuvent perturber ou prendre le contrôle du processus de rotation des mots de passeLa manipulation du temps empêche les rotations planifiées, tandis que la modification directe accorde le contrôle sur des comptes spécifiques, permettant à la fois une persistance à long terme et une évasion de la détection.
Contrôles de sécurité des INH sur site
Les comptes de service Il s'agit d'identités non humaines utilisées pour exécuter des applications, des services et des tâches automatisées dans un environnement AD sur site. Ces comptes utilisent souvent des mots de passe statiques et immuables, ce qui présente des risques de sécurité importants. Une fois compromis, les attaquants peuvent utiliser ces identifiants pour :
- Vol & Mouvement latéral:Utiliser les privilèges du compte pour se déplacer latéralement.
- Elévation de Privilèges:Obtenir un accès administratif grâce à des privilèges élevés.
- Persistance à long terme: Maintenir l'accès sans détection ni expiration.
Pour atténuer ces risques, la rotation des mots de passe garantit que les identifiants des comptes changent régulièrement. Il existe deux principaux types de comptes appliquant la rotation des mots de passe :
- Comptes de machines:Représente les ordinateurs joints au domaine ; les modifications de mot de passe sont gérées par le système d'exploitation local.
- Comptes de services gérés (MSA):Conçu pour les services et les applications ; la rotation des mots de passe est appliquée par le contrôleur de domaine (DC).
| Type de compte | Interet | Qui gère la rotation ? |
| Comptes de machines | Ordinateur protocoles d'authentification dans le domaine | Système d'exploitation local |
| MSA autonomes | Authentification d'application à serveur unique | Contrôleur de domaine (DC) |
| Comptes de services gérés de groupe (MSA) | Partagé sur plusieurs machines | Contrôleur de domaine (DC) |
| MSA délégués | Extension des gMSA avec contrôle administratif délégué | Contrôleur de domaine (DC) |
Il est essentiel de comprendre ces différences, car les attaquants exploitent les mécanismes de rotation différemment selon le type de compte. Par exemple, les comptes machine peuvent être piratés via des méthodes RPC telles que MS-SAMR, tandis que les MSA nécessitent une manipulation du processus de rotation du DC.
Vecteur d'attaque 1 : Désactivation de la rotation du mot de passe du compte machine
In Active DirectoryLa rotation des mots de passe des comptes machines est la responsabilité du système client, généralement un hôte Windows rattaché à un domaine. Par défaut, le système d'exploitation local effectue automatiquement la rotation des mots de passe de ses comptes machines tous les 30 jours. Pour ce faire, il communique à distance avec le contrôleur de domaine (DC) via le protocole MS-SAMR (Security Account Manager Remote Protocol) via RPC.
Ce protocole fournit un ensemble d'opérations administratives pour la gestion des comptes d'utilisateurs et d'ordinateurs dans Active Directory. L’une des fonctions clés utilisées par le client pour effectuer des mises à jour de mot de passe à distance est hSamrUnicodeChangePasswordUser2, qui permet au client authentifié de modifier le mot de passe associé à son compte machine dans l’annuaire.
Mécanique de l'attaque
Cependant, ce mécanisme peut être piraté. Une fois qu'un attaquant a accès au compte de la machine, il peut utiliser MS-SAMR et invoquer spécifiquement hSamrUnicodeChangePasswordUser2 pour modifier directement le mot de passe du compte. Active Directory, sans avertir ni impliquer le client d'origine. Cela interrompt la synchronisation entre la machine jointe au domaine et le contrôleur de domaine, créant une relation de confiance unilatérale où l'attaquant contrôle les informations d'identification et l'hôte légitime est bloqué.
Cela rompt la confiance entre la machine et le contrôleur de domaine. Chacun stocke une copie du mot de passe, et toute modification non autorisée entraîne une incompatibilité. L'objet AD reste valide indéfiniment, garantissant ainsi un accès permanent.
Une fois la rotation désactivée, le compte reste valide, même si aucun autre changement de mot de passe n'est effectué. La confiance rompue rend la machine compromise inutilisable.
Manipulation de la rotation des mots de passe avec des attaques temporelles
Pour améliorer la sécurité des informations d'identification de service, Microsoft a introduit des MSA autonomes dans Windows Server 2008 R2. Les MSA s'appuient sur le contrôleur de domaine pour la gestion des mots de passe, mais cette centralisation introduit de nouveaux vecteurs d'attaque.
En manipulant l'heure système sur le contrôleur de domaine ou l'hôte de service, les attaquants peuvent retarder les changements de mot de passe programmés. Comme AD s'appuie sur des horodatages, reculer l'horloge retarde la rotation et maintient l'accès.
Comment le temps affecte la rotation des mots de passe
Active Directory Utilise l'attribut PwdLastSet pour déterminer la dernière rotation des identifiants d'un compte. Cet horodatage est essentiel pour appliquer les politiques d'expiration des mots de passe. Une synchronisation temporelle précise est essentielle pour les opérations AD, y compris les politiques de mots de passe et Kerberos authentification.
Le rôle de NTP dans la synchronisation temporelle
Les entreprises s'appuient généralement sur un protocole NTP externe pour la précision temporelle. Windows utilise par défaut la version 3 de NTP, qui ne protège pas l'intégrité des messages.
Présentation de la synchronisation horaire Windows (w32tm)
Le service de temps Windows (w32tm) synchronise l'heure du domaine. Dans ce cas, le contrôleur de domaine joue deux rôles :
- Agit comme un serveur de temps, distribuant l'heure aux membres du domaine.
- Se synchronise avec des serveurs NTP externes en tant que client temporel.
Les principaux paramètres de sécurité comprennent :
- MaxPosPhaseCorrection et MaxAllowedPhaseOffset : ajustements de temps maximum autorisés par synchronisation.
- Sécurisation temporelle (STS):Utilise les horodatages TLS pour la détection des falsifications, mais est limité, en particulier après TLS 1.3.
Interrompre la rotation des mots de passe via la manipulation de l'heure du domaine
Les attaques MITM entre le DC et la source NTP peuvent progressivement décaler l'heure du DC sans détection. w32tm permet jusqu'à 48 heures de correction par synchronisation, mise à jour toutes les 64 secondes.
Vecteur d'attaque 2 : Manipulation temporelle de la rotation des mots de passe MSA
L'attaquant manipule d'abord l'horloge du DC, puis déclenche la rotation du mot de passe via l'une des méthodes suivantes :
- Demande directe: Un utilisateur ou un service avec des privilèges sur le compte de service géré.
- Déclencheur naturel:Permettre au compte de service géré de se réauthentifier naturellement.
Lorsque les identifiants sont renouvelés alors que l'heure système est avancée artificiellement, le paramètre PwdLastSet reflète cet horodatage futur. Revenir à l'heure précédente retarde la prochaine rotation planifiée, contournant ainsi l'application des règles.
Avantage clé
Tous les membres du domaine se synchronisent avec le contrôleur de domaine, préservant ainsi l'authentification Kerberos et minimisant la détection. Cette synchronisation masque la manipulation de l'heure par les systèmes terminaux, garantissant ainsi la discrétion et la continuité du service.
Conséquences de l'attaque
Ces attaques peuvent entraîner une persistance à long terme dans l'environnement en contournant les contrôles d'expiration par la manipulation de l'horodatage. Lorsqu'un attaquant effectue une rotation des identifiants avec un paramètre de temps modifié, les restaurations ultérieures empêchent toute rotation ultérieure, annulant ainsi la mise en œuvre de la sécurité. compte compromis continue de fonctionner avec un jeton valide, sans être détecté.
Outre la persistance, cette manipulation temporelle permet de contourner les politiques de mots de passe et d'augmenter potentiellement les privilèges. Le retour à l'heure des horloges système peut également entraîner des pannes de service intermittentes et des problèmes d'authentification, créant des perturbations opérationnelles et rendant la détection plus difficile.
Stratégies d'atténuation
Les organisations doivent mettre en œuvre une synchronisation horaire sécurisée à l’aide de protocoles NTP authentifiés tels que NTPv4, qui prend en charge l’intégrité des messages et l’authentification. La surveillance des journaux d’événements critiques peut également aider à détecter un comportement inhabituel: L'ID d'événement 4616 (indiquant les changements d'heure) et l'ID d'événement 4742 (indiquant les changements de mot de passe pour les comptes d'ordinateur) sont particulièrement pertinents.
De plus, implémentez une surveillance des schémas PwdLastSet anormaux sur les comptes de service et de machine. Ces indicateurs peuvent révéler des tentatives de manipulation des plannings de rotation ou de maintien d'un accès furtif. Grâce à ces mesures, le risque d'attaques furtives et temporelles peut être considérablement réduit.
