Relais NTLM : De SMBRelay aux mesures de mitigation modernes

NTLM (NT LAN Manager) est une pierre angulaire de la suite d’authentification de Microsoft. Pourtant, il a connu plusieurs vulnérabilités au fil des années. L’une des plus utilisées est l’exploitation de relais NTLM. Plongeons dans son histoire, son évolution et comment elle est gérée aujourd’hui.

Les Premiers Jours : Sir Distic et SMBRelay

À la fin des années 1990, un hacker nommé Sir Distic a présenté au monde un outil nommé SMBRelay. Cette exploitation visait les machines Windows en capturant et relayant les demandes d’authentification NTLM. En substance, c’était comme prendre le “billet d’authentification” de quelqu’un et l’utiliser ailleurs, sans que cette personne le sache. Ce fut le premier grand avertissement sur les vulnérabilités NTLM, ouvrant la voie au développement de contre-mesures.

Les Bases du Relais NTLM

Pour comprendre le relais NTLM, commençons par comprendre quelques bases du réseau.

Chaque fois qu’un appareil sur un réseau veut communiquer avec un autre, il démarre une session, un peu comme lorsqu’on entame une conversation dans le monde réel. Le protocole NTLM (NT LAN Manager) est une façon de se présenter dans cette conversation numérique.

Pensez au NTLM comme à une poignée de main numérique où le Device A dit : “Bonjour, c’est A”, et le Device B répond : “Je te reconnais, A. Discutons.”

Et si, lors de cette poignée de main numérique, un espion (appelons-le ‘E’) intervenait ? E prend astucieusement le salut de A et se présente à un appareil complètement différent, Device C, en utilisant l’identité de A.

Cette tromperie est l’essence du relais NTLM. ‘E’ ne connaît pas nécessairement les secrets ou les identifiants de A, mais en détournant la présentation de A, il peut potentiellement obtenir un accès non autorisé à C, alors que C croit qu’il interagit avec A. C’est une mascarade numérique, une imitation, et cela peut entraîner des accès non intentionnels et des fuites de données.

Évolution de l’Attaque

Avec le temps, la méthode d’attaque a évolué. Le plus notable est le passage de SMB (Server Message Block) à d’autres protocoles comme HTTP. Les attaquants se sont adaptés à différents environnements et ont exploité de nouveaux services, rendant les solutions héritées obsolètes.

Les Implications de la Signature SMB

Bien que la signature SMB soit une solide mesure d’atténuation contre les attaques de relais NTLM, ce n’est pas une solution miracle. Elle garantit que les paquets relayés sont authentiques et n’ont pas été altérés. Cependant, il y a un hic.

Si un attaquant intercepte ces paquets, il peut ne pas les relayer, mais il peut toujours les analyser. Si des mots de passe faibles sont utilisés, les attaquants peuvent essayer de les casser hors ligne. En gros, la signature SMB arrête le relais, mais transforme la scène en un lieu potentiel pour le cassage de mot de passe.

Les Mitigations d’Aujourd’hui

Les défenses modernes contre le relais NTLM sont multiples :

1. Utilisation de la Signature SMB : En imposant la signature SMB, les attaques de relais deviennent inefficaces car toute altération est détectée.
2. Restrictions de Compte : Les comptes avec des privilèges délégués ne réalisent pas d’authentification NTLM sur le réseau, réduisant ainsi l’exposition.
3. Blocage du NTLM : Certaines organisations choisissent de bloquer complètement le NTLM, s’appuyant sur des méthodes plus sécurisées.
4. Kerberos : En tant que successeur du NTLM, Kerberos offre une authentification mutuelle, c’est-à-dire que le client et le serveur prouvent leur identité l’un à l’autre. Cette authentification mutuelle rend les attaques de relais bien plus difficiles.
5. Protection renforcée pour l’authentification (EPA) : Cela garantit que les identifiants relayés ne sont valables que pour le serveur initialement prévu.

Mais la défense la plus efficace ? La sensibilisation. Connaître les risques, rester informé des dernières méthodes d’attaque, et appliquer les meilleures pratiques peuvent protéger vos systèmes.

Pourquoi Devriez-Vous Vous en Soucier ?

Le relais NTLM n’est pas seulement un casse-tête IT ; c’est un risque commercial. L’accès non autorisé peut signifier le vol de données, une perturbation des activités, ou pire. Si vous êtes préoccupé par la posture de sécurité de votre organisation, envisagez un test de pénétration professionnel. Un pen-test peut révéler des vulnérabilités cachées et fournir des informations exploitables pour renforcer la sécurité.

Besoin d’un test de pénétration ? Nous sommes experts dans la détection des vulnérabilités et nous nous assurons que vos défenses sont solides comme le roc. Contactez-nous pour des services de premier ordre.

De l’apparition de SMBRelay aux défenses sophistiquées d’aujourd’hui, le relais NTLM a toujours été un sujet captivant dans le domaine de la sécurité. Restez vigilant, restez informé et privilégiez toujours votre sécurité numérique.