Сушите весла, сэр

[pargentum]

pass-hash атака, которая использовалась для китайской атаки на гугль.
Вкратце: если у вас вся авторизация, в том числе продакшн сервера, берется с Active Directory - сушите весла.

Кстати, на ./ не все это осознают, и опять съехали на тему, что если все будут использовать линукс, то будут атаковать линукс.  Да, будут, но в линуксе, по крайней мере, даже если вы украдете хэш пароля, его еще надо будет подвергать словарной атаке или как-то еще ломать.  А в виндах кража хэша с большинства точек зрения равносильна краже самого пароля.  И алгоритм хэширования так просто не поменяешь, потому что тогда вся авторизация сломается.

• Current Anti-Virus solutions are not working
• Patching sometimes is not enough.
(впрочем, это и без того было известно).

ЗЫ поглядел на файл /etc/ldap.secret и задумался.

Comments

[nine_k]

Дело в LDAP, что ли?
Ну, там теоретически схему авторизации можно поменять, не трогая всего остального, т.е. добавить везде новую правильную и постепенно вытеснить старую негодную. Лет за 5.

[a-bronx.livejournal.com]

Вкратце: если у вас вся авторизация, в том числе продакшн сервера, берется с Active Directory - сушите весла.

Ну, это лишь если админ настолько глуп, что логинится на удалённые машины с аккаунтом доменного администратора, а не с менее привилегированным (или временным, на крайняк).

[a-bronx.livejournal.com]

в линуксе, по крайней мере, даже если вы украдете хэш пароля, его еще надо будет подвергать словарной атаке или как-то еще ломать.

А в чём принципиальное отличие линуксовых хэшей от виндовых? Это же проблема не хэшей, а принципиальная проблема Single Sign On: в любой системе с SSO, credentials должны кэшироваться на какое-то время, и значит их можно заполучить и использовать. По аналогии, если важному чуваку на режимном предприятии, после тщательной проверки охраной, выдали RFID-бэдж, позволяющий открывать все двери пинком ноги, то лучше с этим беджем не заходить в комнаты, где могут оказаться ненадёжные люди. А то -- тюк по голове -- и всё предприятие в твоих руках :)

[pargentum.livejournal.com]

Когда машина ставится в домен, на нее нужно заходить настоящим доменным администратором (с правом добавлять компы в домен).

[pargentum.livejournal.com]

Керберос или, скажем, лотусовый sso, в общем, решают эту проблему: кэшируется не пароль, а билет, генерируемый случайно и к паролю не имеющий отношения.

А отличие линуксовых хэшей от виндовых разъясняется в статье по первой ссылке: для того, чтобы успешно ответить на виндовый challenge/response, достаточно знать хэш пароля. Сам пароль не нужен.

ЗЫ

[pargentum.livejournal.com]

вообще, да, насчет того, чтобы иметь несколько админов для разных целей, скажем, ставить машины в домен - использовать учетную запись, имеющую права только в контейнере, где живут компы, и никуда более - это тема. И это действительно могло бы помочь от такой атаки.