Менеджер учетных записей безопасности - Википедия - Security Account Manager

В Менеджер аккаунта безопасности (СЭМ) - это файл базы данных[1] в Windows XP, Windows Vista, Windows 7, 8.1 и 10 хранит пароли пользователей. Его можно использовать для аутентификации локальных и удаленных пользователей. Начиная с Windows 2000 SP4, Active Directory аутентифицирует удаленных пользователей. SAM использует криптографические меры для предотвращения доступа к системе неаутентифицированных пользователей.

Пароли пользователей хранятся в хешированном формате в куст реестра либо как LM хеш или как NTLM хеш. Этот файл можно найти в % SystemRoot% / system32 / config / SAM и установлен на HKLM / SAM.

Пытаясь повысить безопасность базы данных SAM от взлома программного обеспечения в автономном режиме, Microsoft представила функцию SYSKEY в Windows NT 4.0. Когда SYSKEY включен, копия файла SAM на диске частично зашифрована, так что хеш-значения паролей для всех локальных учетных записей, хранящихся в SAM, зашифровываются с помощью ключа (обычно также называемого «SYSKEY»). Его можно включить, запустив системный ключ программа.[2]

Криптоанализ

В 2012 году было продемонстрировано, что любая возможная перестановка хэша пароля NTLM из 8 символов может быть треснутый менее чем за 6 часов.[3]В 2019 году это время было сокращено примерно до 2,5 часов за счет использования более современного оборудования.[4][5]

В случае онлайн-атак просто скопировать файл SAM в другое место невозможно. Файл SAM нельзя переместить или скопировать во время работы Windows, поскольку ядро ​​Windows получает и сохраняет исключительную блокировку файловой системы для файла SAM и не снимает эту блокировку до тех пор, пока операционная система не выключится илиСиний экран смерти "исключение было создано. Однако копию содержимого SAM в памяти можно сбросить с помощью различных методов (в том числе pwdump ), делая хэши паролей доступными для офлайн атака грубой силой.

Удаление LM-хеша

LM-хеш - это скомпрометированный протокол, который был заменен NTLM-хешем. В большинстве версий Windows можно настроить отключение создания и хранения действительных хэшей LM, когда пользователь меняет свой пароль. В Windows Vista и более поздних версиях Windows хеш LM по умолчанию отключен. Примечание: включение этого параметра не приводит к немедленному удалению хеш-значений LM из SAM, а скорее включает дополнительную проверку во время операций смены пароля, которая вместо этого сохраняет «фиктивное» значение в том месте в базе данных SAM, где в противном случае хранится хеш-код LM. . (Это фиктивное значение не имеет отношения к паролю пользователя - это то же значение, которое используется для всех учетных записей пользователей.)

Связанные атаки

В Windows NT 3.51, NT 4.0 и 2000 была разработана атака для обхода локальной системы аутентификации. Если файл SAM будет удален с жесткого диска (например, при установке тома ОС Windows в альтернативную операционную систему), злоумышленник может войти в систему с любой учетной записью без пароля. Этот недостаток был исправлен в Windows XP, которая выдает сообщение об ошибке и выключает компьютер. Однако существуют программные утилиты[6], который, используя вышеупомянутую методологию использования либо эмулируемого виртуального диска, либо загрузочного диска (обычно Unix / Linux или другой копии Windows, например Среда предустановки Windows ) на основе среды для монтирования локального диска, содержащего активный раздел NTFS, и использования программных программ и вызовов функций из назначенных стеков памяти для изоляции файла SAM от структуры каталогов установки системы Windows NT (по умолчанию: % SystemRoot% / system32 / config / SAM) и, в зависимости от конкретной используемой программной утилиты, полностью удаляет хэши паролей, сохраненные для учетных записей пользователей, или, в некоторых случаях, изменяет пароли учетных записей пользователей непосредственно из этой среды.

Это программное обеспечение имеет как весьма прагматичное, так и полезное применение в качестве утилиты для очистки паролей или восстановления учетной записи для лиц, которые потеряли или забыли пароли своих учетных записей Windows, а также в качестве возможной утилиты обхода защиты от вредоносных программ. По сути, предоставление пользователю с достаточными способностями, опытом и знакомством как со служебным программным обеспечением для взлома, так и с процедурами безопасности ядра Windows NT (а также автономным и немедленным локальным доступом к целевому компьютеру), возможность полностью обойти или удалить Windows пароли учетной записи от потенциального целевого компьютера. Совсем недавно Microsoft выпустила утилиту LockSmith, которая является частью MSDart. Однако MSDart не является бесплатным для конечных пользователей.

Смотрите также

Рекомендации

  1. ^ «Менеджер учетных записей безопасности (SAM)». TechNet. Microsoft. Получено 11 апреля 2014.
  2. ^ «Как использовать служебную программу SysKey для защиты базы данных диспетчера учетных записей безопасности Windows». Поддерживать. Корпорация Майкрософт. Получено 12 апреля 2014.
  3. ^ Гудин, Дэн (2012-12-10). «Кластер на 25 GPU взламывает каждый стандартный пароль Windows менее чем за 6 часов». Ars Technica. Получено 2020-11-23.
  4. ^ Клэберн, Томас (14 февраля 2019 г.). «Использовать 8-значный пароль Windows NTLM? Не надо. Каждый из них может быть взломан менее чем за 2,5 часа». www.theregister.co.uk. Получено 2020-11-26.
  5. ^ hashcat (13 февраля 2019 г.). "настроенный вручную hashcat 6.0.0 beta и 2080Ti (стандартные часы) преодолевает отметку скорости взлома NTLM в 100 ГГц / с на одном вычислительном устройстве". @hashcat. Получено 2019-02-26.
  6. ^ Пример автономной утилиты для атаки паролей NT: http://cdslow.org.ru/en/ntpwedit/index.html

Статья основана на материалах, взятых из Бесплатный онлайн-словарь по вычислительной технике до 1 ноября 2008 г. и зарегистрированы в соответствии с условиями «перелицензирования» GFDL, версия 1.3 или новее.