Kerberos
Standard-Authentifizierungsprotokoll in Active Directory, das Identitäten über ein Ticket-basiertes System verifiziert, ohne Passwörter über das Netzwerk zu übertragen.
Kerberos ist das Standard-Authentifizierungsprotokoll in Active Directory-Umgebungen und hat das ältere NTLM-Protokoll als bevorzugte Methode abgelöst. Das Protokoll basiert auf einem Ticket-System: Anstatt bei jedem Zugriff Credentials zu übertragen, erhält ein authentifizierter Benutzer Tickets, die seinen Zugriff auf Ressourcen nachweisen. Kerberos wurde am MIT entwickelt und ist seit Windows 2000 das primäre Authentifizierungsprotokoll in Microsoft-Netzwerken.
Wie Kerberos funktioniert
Die Authentifizierung läuft über drei Parteien: den Client (Benutzer oder Dienst), den Zielserver (die Ressource) und das Key Distribution Center (KDC), das auf dem Domain Controller läuft. Der Ablauf erfolgt in mehreren Schritten.
Zuerst authentifiziert sich der Benutzer beim KDC und erhält ein Ticket Granting Ticket (TGT). Dieses TGT ist der Nachweis der Identität und wird mit dem Passwort-Hash des krbtgt-Kontos verschlüsselt. Wenn der Benutzer auf eine Ressource zugreifen möchte, legt er das TGT beim Ticket Granting Service (TGS) vor und erhält ein Service Ticket für die spezifische Ressource. Dieses Service Ticket wird dem Zielserver präsentiert, der damit den Zugriff gewährt — ohne dass das KDC erneut kontaktiert werden muss.
Der entscheidende Vorteil gegenüber NTLM: Das Passwort des Benutzers wird niemals über das Netzwerk übertragen. Stattdessen dienen kryptografische Schlüssel und zeitlich begrenzte Tickets als Authentifizierungsnachweis.
Kerberos-Ticket-Typen
| Ticket | Zweck | Gültigkeit | Verschlüsselt mit |
|---|---|---|---|
| TGT (Ticket Granting Ticket) | Nachweis der Identität gegenüber dem KDC | Standard: 10 Stunden | Passwort-Hash des krbtgt-Kontos |
| TGS (Service Ticket) | Zugriff auf eine bestimmte Ressource | Standard: 10 Stunden | Passwort-Hash des Service Accounts |
Die Verschlüsselung der Tickets ist gleichzeitig Stärke und Schwachstelle des Protokolls. Da Service Tickets mit dem Hash des zugehörigen Service Accounts verschlüsselt sind, können sie offline geknackt werden — die Grundlage für Kerberoasting-Angriffe.
Angriffe auf Kerberos
Kerberos ist das sicherere Protokoll, aber nicht immun gegen Angriffe. Die wichtigsten Angriffstechniken zielen auf die Tickets und die zugrunde liegenden Schlüssel.
Kerberoasting fordert Service Tickets an und knackt deren Verschlüsselung offline, um Passwörter von Service Accounts zu erlangen. Ein Golden-Ticket-Angriff nutzt den kompromittierten Hash des krbtgt-Kontos, um beliebige TGTs zu fälschen — der Angreifer kann sich damit als jeder Benutzer ausgeben, einschließlich Domain Admins. Ein Silver-Ticket-Angriff fälscht Service Tickets für einzelne Dienste, ohne das KDC zu kontaktieren. AS-REP Roasting zielt auf Konten, bei denen die Kerberos-Vorauthentifizierung deaktiviert ist.
Die Absicherung erfordert ein Zusammenspiel mehrerer Maßnahmen: Das Tiering-Modell begrenzt, wo privilegierte Tickets exponiert werden. gMSA-Konten mit automatisch rotierten 120-Zeichen-Passwörtern machen Kerberoasting praktisch unmöglich. Regelmäßige Rotation des krbtgt-Passworts (mindestens zweimal hintereinander) invalidiert existierende Golden Tickets. Und die konsequente Deaktivierung von RC4 zugunsten von AES-256 erschwert das Knacken erbeuteter Tickets erheblich.
Kerberos vs. NTLM
| Merkmal | Kerberos | NTLM |
|---|---|---|
| Authentifizierung | Ticket-basiert (TGT + Service Ticket) | Challenge-Response mit Passwort-Hash |
| Passwort-Übertragung | Nie über das Netzwerk | Hash wird bei jeder Authentifizierung übermittelt |
| Gegenseitige Authentifizierung | Ja (Client und Server) | Nein (nur Client wird verifiziert) |
| Delegation | Unterstützt (constrained/unconstrained) | Nicht möglich |
| Anfälligkeit | Kerberoasting, Golden/Silver Ticket | Pass-the-Hash, Relay-Angriffe |
| Status | Aktiv empfohlen | Veraltet, Abschaltung empfohlen |
In der Praxis laufen beide Protokolle oft parallel, da Legacy-Anwendungen und bestimmte Konfigurationen auf NTLM als Fallback zurückgreifen. Diese Koexistenz ermöglicht es Angreifern, NTLM-Downgrade-Angriffe durchzuführen und die Sicherheitsvorteile von Kerberos zu umgehen.
Relevanz für KMUs
Kerberos funktioniert in den meisten AD-Umgebungen automatisch — die Herausforderung liegt nicht in der Einrichtung, sondern in der Absicherung. Die wichtigsten Maßnahmen für KMUs: krbtgt-Passwort regelmäßig rotieren (in vielen Umgebungen seit der Domäneneinrichtung unverändert), RC4-Verschlüsselung deaktivieren, Service Accounts auf gMSA migrieren und Konten ohne Vorauthentifizierung identifizieren und korrigieren. Diese Maßnahmen sind mit Bordmitteln umsetzbar und schließen die häufigsten Angriffsvektoren.