微軟目錄服務的安全弱點 導致用戶密碼遭竄改

由微軟所提供廣泛被使用的目錄服務(Active Directory)，近日被資安公司Aorato發現存在了安全弱點，此一存在的漏洞可以讓攻擊者進一步去變更用戶的密碼，也就有機會再去存取其他更為敏感的系統。不過，微軟表示此問題存在已久，並且也已經採取了對應的安全修補措施。

這項安全弱點是來自於微軟舊有的NTLM身分認證協定，它預設被使用在所有Windows XP SP3之後的作業系統，而在最新的作業系統中，使用的則是其繼任者Kerberos協定，但是它也可以相容於NTLM的認證方式。

根據資安專家在概念測試(proof-of-concept)的結果顯示，存在NTLM弱點的目錄服務伺服器，一旦遇上了被稱之為「pass-the-hash」的攻擊方式，就有可能因為攻擊者在某一用戶電腦中已獲得有效的登入憑證(hash)，可以利用它來存取其他的應用系統或電腦。

目前，在Fortune 500大企業之中，有將近95%的企業使用了微軟的目錄服務，而這些可能存放許多重要商業資訊的電腦，也讓這個問題變得更加地敏感。尤其是許多企業為了方便使用者可以同時登入多個應用系統，免去重覆輸入密碼的麻煩，大都採取了所謂單一登入(SSO)的方式，因此需要將已獲得登入許可的憑證(hash)儲存在電腦中，這種作法也就給了攻擊者滲透入侵的機會，可以透過駭客工具事先取得用戶有效的登入憑證，然後再來加以利用。

安全專家表示，企業可以選擇停用單一登入的功能來預防此一攻擊的發生，但相對的也就會讓使用者在登入不同的應用系統時，每次都必須要再輸入個人的帳號和密碼。另外，某些企業可能已經選擇使用Kerberos來替代，但是攻擊者還是可以要求系統接受較弱的加密協定RC4-HMAC，讓Kerberos同樣可以接受NTLM的認證方式，藉此來獲得最新有效的Kerberos憑證。

在今年五月時，微軟已經發佈了改善認證保護和管理的安全更新(http://support.microsoft.com/kb/2871997)，可以降低NTLM弱點遭到利用的風險，微軟更建議用戶改為使用智慧卡或是在認證伺服器上停用Kerberos支援RC4-HMAC的功能，以避免此一問題的發生。