觀點

微軟目錄服務的安全弱點 導致用戶密碼遭竄改

2014 / 07 / 17
編輯部/編譯
微軟目錄服務的安全弱點 導致用戶密碼遭竄改
由微軟所提供廣泛被使用的目錄服務(Active Directory),近日被資安公司Aorato發現存在了安全弱點,此一存在的漏洞可以讓攻擊者進一步去變更用戶的密碼,也就有機會再去存取其他更為敏感的系統。不過,微軟表示此問題存在已久,並且也已經採取了對應的安全修補措施。

這項安全弱點是來自於微軟舊有的NTLM身分認證協定,它預設被使用在所有Windows XP SP3之後的作業系統,而在最新的作業系統中,使用的則是其繼任者Kerberos協定,但是它也可以相容於NTLM的認證方式。

根據資安專家在概念測試(proof-of-concept)的結果顯示,存在NTLM弱點的目錄服務伺服器,一旦遇上了被稱之為「pass-the-hash」的攻擊方式,就有可能因為攻擊者在某一用戶電腦中已獲得有效的登入憑證(hash),可以利用它來存取其他的應用系統或電腦。

目前,在Fortune 500大企業之中,有將近95%的企業使用了微軟的目錄服務,而這些可能存放許多重要商業資訊的電腦,也讓這個問題變得更加地敏感。尤其是許多企業為了方便使用者可以同時登入多個應用系統,免去重覆輸入密碼的麻煩,大都採取了所謂單一登入(SSO)的方式,因此需要將已獲得登入許可的憑證(hash)儲存在電腦中,這種作法也就給了攻擊者滲透入侵的機會,可以透過駭客工具事先取得用戶有效的登入憑證,然後再來加以利用。

安全專家表示,企業可以選擇停用單一登入的功能來預防此一攻擊的發生,但相對的也就會讓使用者在登入不同的應用系統時,每次都必須要再輸入個人的帳號和密碼。另外,某些企業可能已經選擇使用Kerberos來替代,但是攻擊者還是可以要求系統接受較弱的加密協定RC4-HMAC,讓Kerberos同樣可以接受NTLM的認證方式,藉此來獲得最新有效的Kerberos憑證。

在今年五月時,微軟已經發佈了改善認證保護和管理的安全更新(http://support.microsoft.com/kb/2871997),可以降低NTLM弱點遭到利用的風險,微軟更建議用戶改為使用智慧卡或是在認證伺服器上停用Kerberos支援RC4-HMAC的功能,以避免此一問題的發生。