Khi user domain đăng nhập Windows, thông tin đăng nhập được lưu cục bộ mặc định (Cached Credentials: tên user và hash mật khẩu). Cho phép user đăng nhập máy ngay cả khi AD domain controller không khả dụng, tắt nguồn, hoặc cáp mạng rút ra. Cache credential domain tiện lợi cho user laptop truy cập dữ liệu cục bộ khi mạng doanh nghiệp không có sẵn.
Cache credential user domain trên Windows
Cached credentials dùng để logon Windows nếu user đã xác thực trên máy này ít nhất một lần và mật khẩu domain chưa đổi kể từ đó. Mật khẩu user trong cached credentials không bao giờ hết hạn. Nếu chính sách mật khẩu domain bắt user đổi pass, mật khẩu lưu trong cache local không đổi cho đến khi user logon với mật khẩu mới. Nếu mật khẩu AD đã đổi sau lần logon cuối và máy offline (không truy cập mạng domain), user vẫn đăng nhập được máy với mật khẩu cũ.
Nếu AD domain không khả dụng, Windows kiểm tra username/password nhập vào khớp với cache local và cho phép logon local.
Cached credentials lưu trong registry khóa HKEY_LOCAL_MACHINE\Security\Cache (%systemroot%\System32\config\SECURITY). Mỗi hash lưu trong tham số NL$x (x là index cached data). Mặc định ngay cả admin cũng không xem được khóa này, nhưng có thể cấp quyền nếu cần.
Hash mật khẩu được sửa đổi bằng salt dựa trên username và lưu vào registry.
Xóa giá trị NL$x sẽ xóa cached user credentials.
Nếu không có cached credentials trong local cache, khi logon máy offline sẽ thấy:
There are currently no logon servers available to service the logon request.
Cấu hình Cached Credentials bằng Group Policy
Đặt số lượng user duy nhất có thể lưu credential trong local cache trên máy domain bằng GPO. Để credential user lưu trong cache local, user phải logon máy ít nhất một lần.
Mặc định Windows 10 và Windows Server 2016 lưu credential của 10 user đăng nhập gần nhất. Đổi giá trị bằng GPO: Interactive logon: Number of previous logons to cache (in case domain controller is not available). Tìm tại Computer Configuration → Policies → Windows Settings → Security Settings → Local Policies → Security Options. Giá trị từ 0 đến 50.
Đặt 0 sẽ ngăn Windows cache credential user. Lúc domain không khả dụng, user logon sẽ thấy lỗi: There are currently no logon servers available to service the logon request.
Cũng cấu hình qua tham số REG_SZ CashedLogonsCount trong HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon.
Nếu user logon với cached credentials, không thấy domain controller không khả dụng. Dùng GPO hiển thị thông báo dùng cached credentials logon. Bật policy Report when logon server was not available during user logon tại Computer configuration → Policies → Administrative templates → Windows Components → Windows Logon Options.
Sau logon, thông báo hiện ở khay hệ thống:
A domain controller for your domain could not be contacted. You have been logged on using cached account information. Changes to your profile since you last logged on might not be available.
Bật qua registry:
HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows NT/Current Version/Winlogon
- ValueName:
ReportControllerMissing - Data Type:
REG_SZ - Value:
1
Rủi ro bảo mật của Cached Windows Credentials
Cache credential local có rủi ro bảo mật. Sau khi có truy cập vật lý đến máy/laptop có cached data, kẻ tấn công có thể giải mã hash mật khẩu bằng brute-force. Phụ thuộc độ dài và độ phức tạp mật khẩu. Nếu pass phức tạp, brute-force mất thời gian khổng lồ. Do đó không khuyến khích dùng caching cho user có quyền admin local (hoặc domain admin).
Tìm hiểu thêm cách bảo vệ tài khoản admin trên mạng domain Windows.
Giảm thiểu rủi ro: tắt credential caching trên máy văn phòng và máy admin. Giảm số tài khoản cached trên thiết bị di động xuống 1. Nghĩa là ngay cả khi admin logon và data được cache, hash pass admin sẽ bị ghi đè sau khi chủ thiết bị logon.
Đối với AD domain functional level Windows Server 2012 R2 trở lên, thêm tài khoản domain admin vào group Protected Users. Cache credential local bị cấm cho group bảo mật này.
Tạo GPO riêng trong domain kiểm soát dùng cached credentials cho thiết bị và nhóm user khác nhau (ví dụ: GPO Security filters, WMI filters, triển khai CashedLogonsCount qua GPP Item level targeting).
- User laptop (di động):
CashedLogonsCount = 1 - Máy để bàn văn phòng:
CashedLogonsCount = 0
Các policy này giảm cơ hội lấy hash tài khoản đặc quyền từ thiết bị joined domain.