Bảo mật phiên NTLM (NTLM Session Security) là gì?
Bộ giao thức bảo mật Microsoft cung cấp xác thực (authentication), toàn vẹn (integrity), bảo mật (confidentiality) cho user trên mạng Windows dựa trên NT LAN Manager (NTLM). Thay thế giao thức xác thực cũ LANMAN (Microsoft LAN Manager).
NTLM viết tắt của gì?
New Technology LAN Manager: bộ giao thức bảo mật Microsoft xác thực danh tính user, bảo vệ hoạt động, đảm bảo toàn vẹn & bảo mật.
NTLMSSP dùng làm gì?
NTLM Security Support Provider: giao thức nhị phân dùng bởi Microsoft SSPI (Security Support Provider Interface) để thực hiện xác thực NTLM qua thách thức/phản hồi (challenge/response), thương lượng toàn vẹn & bảo mật.
NTLMv1 có an toàn không?
Không an toàn. Giao thức NTLMv1 làm suy yếu an ninh mạng, có thể bị xâm hại.
Loại bỏ NTLM như thế nào?
Chạy secpol.msc > Local Policies > Security Options > Network Security: Restrict NTLM: Outgoing NTLM traffic to remote servers > Chọn "Deny All".
NTLM dùng ở đâu?
- Cấu hình Workgroup dùng Windows authentication
- Hỗ trợ Windows authentication (vẫn còn)
- Domain controller & đăng nhập cục bộ (local logon)
NTLM hoạt động như thế nào?
Xác thực user bằng challenge/response đã mã hóa - không truyền mật khẩu qua đường dây. Client tính hash mật khẩu, loại bỏ mật khẩu thật, gửi username đã mã hóa đến server.
NTLM trong Active Directory
Trong domain AD, NTLM = giao thức challenge-response xác thực client. Với SSO: user chỉ cung cấp yếu tố xác thực 1 lần (lúc login) thay vì nhiều lần.
NTLM có phải LDAP không?
Module NTLM Authentication dùng kết nối LDAP đơn giản đến Windows Active Directory. Thiết kế chỉ cho Microsoft Windows AD. Test trên IIS6 & Windows Server 2003 DC.
Tại sao dùng NTLM?
Còn gọi Windows Challenge/Response. Giao thức xác thực máy độc lập/mạng Windows. Xác thực dựa trên challenge/response mã hóa - không gửi mật khẩu qua Internet.
Cơ chế NTLM (phiên bản 2)
Client gửi username > Host gửi số ngẫu nhiên (challenge) > Client tính hash từ challenge + mật khẩu > Gửi response về server.
Quy trình NTLMSSP
Authentication Service ID: RPC_C_AUTHN_WINNT. NTLMSSP = Security Support Provider cho mọi phiên bản DCOM. Xác thực theo giao thức NTLM. Danh tính client: domain, username, password/token.
Cách biết NTLM đang được dùng
Bật Logon Success Auditing trên Domain Controller. Tìm Event 4624 trong Success Auditing - xác định phiên bản NTLM.