Kerberos и NTLM: как работает аутентификация и почему это важно для безопасности

NTLM — это семейство протоколов аутентификации Microsoft, исторически использовавшееся в Windows-средах. Если упростить, NTLM работает по принципу challenge-response: сервер отправляет клиенту запрос-вызов, клиент формирует ответ на основе учетных данных, а сервер или контроллер домена проверяет, действительно ли пользователь знает секрет, связанный с учетной записью. Microsoft описывает NTLM как механизм, который аутентифицирует пользователей и компьютеры на основе challenge-response и может обращаться к контроллеру домена для проверки доменной учетной записи.

Важный момент: при нормальной работе NTLM не передает пароль в открытом виде. Но это не делает его полностью безопасным. В ряде сценариев злоумышленнику и не нужен сам пароль — достаточно получить хэш или другой материал, который можно использовать для аутентификации.

Упрощенно процесс выглядит так:

1. Пользователь или компьютер пытается получить доступ к ресурсу.
2. Сервер запрашивает подтверждение личности.
3. Клиент формирует ответ на основе учетных данных.
4. Сервер проверяет ответ сам или через контроллер домена.
5. Если проверка успешна, доступ предоставляется.

Главная проблема NTLM в современной инфраструктуре — его пригодность для злоупотреблений при компрометации учетных данных. Например, при атаке pass the hash злоумышленник использует украденный хэш пароля для аутентификации на других системах, не зная сам пароль. MITRE прямо описывает pass the hash как способ аутентифицироваться с помощью украденных служебных сообщений (хэшей паролей) и перемещаться внутри среды, обходя обычные шаги доступа.

На практике NTLM до сих пор встречается:

• в старых приложениях;
• в устаревших системах;
• при доступе к ресурсам вне корректно настроенного домена;
• в сценариях, где Kerberos не может быть использован;
• в средах с legacy-сервисами;
• при неправильной настройке DNS, SPN или доверительных отношений.

Именно поэтому NTLM часто становится «слабым звеном» не потому, что он всегда используется явно и осознанно, а потому что остается в инфраструктуре как совместимость со старыми решениями.

Kerberos — это протокол аутентификации, который используется для проверки личности пользователя или узла в сети. В Windows-доменах Kerberos является предпочтительным механизмом аутентификации для Active Directory-сред; Microsoft указывает, что Kerberos version 5 — предпочтительный метод аутентификации в Active Directory, хотя NTLM все еще может использоваться некоторыми приложениями и сценариями.

Главная идея Kerberos — не отправлять пароль сервисам, к которым обращается пользователь. Вместо этого используется система билетов. Пользователь один раз проходит первичную аутентификацию, после чего получает билет, который позволяет запрашивать доступ к нужным сервисам.

В доменной инфраструктуре ключевую роль играет KDC — Key Distribution Center. В Windows он работает на контроллере домена и использует базу Active Directory для проверки учетных записей.

Упрощенно Kerberos работает так:

1. Пользователь входит в домен.
2. Клиент обращается к KDC и получает начальный билет — TGT, Ticket Granting Ticket.
3. Когда пользователю нужен доступ к конкретному сервису, клиент использует TGT, чтобы запросить сервисный билет.
4. Сервисный билет предъявляется нужному серверу.
5. Сервер проверяет билет и предоставляет доступ, если у пользователя есть права.

За счет такой модели пользователь не передает пароль каждому сервису. Это снижает количество ситуаций, где секрет может быть перехвачен или неправильно обработан.

Но Kerberos тоже нельзя считать «неуязвимым». Если злоумышленник получает доступ к билетам Kerberos, он может использовать их для атаки pass the ticket. В этом случае для доступа к системам применяется украденный Kerberos-билет, а не пароль пользователя. MITRE описывает pass the ticket как способ использовать украденные “билеты” Kerberos для внутреннего перемещения (lateral movement) без знания пароля учетной записи.

Отдельно существуют более опасные сценарии, связанные с подделкой или созданием билетов, например Silver Ticket и Golden Ticket. В таких случаях проблема уже не только в отдельной учетной записи, а в компрометации ключевых элементов доменной инфраструктуры.

Главное преимущество Kerberos — более современная и контролируемая модель аутентификации для доменной среды. Он лучше подходит для инфраструктур, где много пользователей, серверов, сервисов и распределенных приложений.

Для современных доменных инфраструктур Kerberos должен быть основным механизмом аутентификации. Это не значит, что NTLM можно отключить «одной кнопкой» без подготовки. В реальной компании почти всегда есть старые приложения, нестандартные интеграции, сетевые устройства, файловые ресурсы или сервисы, которые все еще завязаны на NTLM.

Но стратегически организациям важно двигаться именно в сторону Kerberos.

NTLM и Kerberos решают одну общую задачу — помогают пользователю или компьютеру подтвердить свою личность в Windows-инфраструктуре. Но делают они это по-разному.
NTLM — более старый механизм, который до сих пор встречается из-за совместимости, legacy-приложений и особенностей инфраструктуры. Его основная проблема в том, что при компрометации хэшей злоумышленник может использовать их для продвижения по сети через pass the hash.

Kerberos — более современная и предпочтительная модель для Active Directory. Он работает через билеты, лучше поддерживает single sign-on, делегирование и доменную аутентификацию. Но он тоже требует защиты: украденные Kerberos-билеты могут использоваться в pass the ticket, а ошибки в настройке домена, сервисных учетных записей и делегирования создают отдельные риски.

Поэтому правильный подход — не просто «включить Kerberos» и забыть о проблеме. Нужно системно управлять аутентификацией: понимать, где используется NTLM, постепенно сокращать его применение, корректно настраивать Kerberos, защищать учетные записи, ограничивать привилегии, контролировать билеты и отслеживать признаки перемещения злоумышленников по внутренней инфраструктуре (lateral movement).

Для бизнеса это вопрос не только технической чистоты, но и устойчивости инфраструктуры. Чем меньше устаревших механизмов, лишних прав и неконтролируемых учетных данных, тем сложнее злоумышленнику продвигаться внутри сети после первичного компрометации.