LAN manager

LAN Manager  er et netværksoperativsystem udviklet af Microsoft i samarbejde med 3Com Corporation . Den blev designet til at erstatte 3Coms 3+Share netværksserversoftware, som kørte på en stærkt modificeret version af MS-DOS .

Historie

LAN Manager var baseret på OS/2 -operativsystemet , udviklet i fællesskab af IBM og Microsoft . Det brugte oprindeligt Server Message Block -protokollen over NetBIOS Frames (NBF)-protokollen eller en specialiseret version af Xerox Network Services- protokollen (XNS). Disse ældre protokoller blev arvet fra tidligere produkter som MS-Net til MS-DOS , Xenix-NET til MS-Xenix og førnævnte 3+Share. En Unix-version af LAN Manager var også tilgængelig kaldet LAN Manager/X.

I 1990 annoncerede Microsoft LAN Manager 2.0 med mange forbedringer, herunder understøttelse af TCP/IP som transportprotokol. Den seneste version af LAN Manager 2.2, som inkluderede basisoperativsystemet MS-OS/2 1.31, forblev Microsofts serveroperativsystem indtil udgivelsen af ​​Windows NT Advanced Server i 1993.

Versioner

• 1987 - MS LAN Manager 1.0 (Basic/Enhanced)
• 1989 - MS LAN Manager 1.1
• 1991 - MS LAN Manager 2.0
• 1992 - MS LAN Manager 2.1
• 1992 - MS LAN Manager 2.1a
• 1993 - MS LAN Manager 2.2
• 1994 - MS LAN Manager 2.2a

Mange leverandører har leveret licenserede versioner, herunder:

• 3Com Corporation 3+Åben
• HP LAN Manager/X
• IBM LAN-server
• Tapestry Torus
• Santa Cruz-operationen

Sikkerhedssystem

LAN Manager (LM)-godkendelse er en protokol, der bruges til at godkende Windows-klienter til netværksoperationer, herunder domæneforbindelser, adgang til netværksressourcer og bruger- eller computergodkendelse. LM-godkendelsesniveauet bestemmer, hvilken anmodning/svar protokollen forhandler mellem klienten og serveren. Den værdi, der er angivet for parameteren LmCompatibilityLevel, bestemmer, hvilken godkendelsesprotokol der skal bruges, når der logges på netværket. Denne værdi påvirker niveauet af godkendelsesprotokol, der bruges af klienter, niveauet af sessionssikkerhed forhandlet, og niveauet af godkendelse, der accepteres af servere. Mulige muligheder:

Krypteringsanalyse

LAN Manager- godkendelse bruger en svag hash -metode for brugeradgangskoder kendt som LM-hash-algoritmen, som opstod i midten af ​​1980'erne, da vira blev hovedproblemet, snarere end højfrekvente netværks - loopback-angreb. Dette gør sådanne hashes knækkelige på få sekunder med regnbueborde eller timer med brute force . Dens brug i Windows NT er blevet afløst af NTLM , hvor ældre versioner stadig er sårbare over for regnbuetabeller, men mindre sårbare over for brute-force-angreb. NTLM bruges til at logge på med lokale konti, fordi Windows Vista og senere ikke længere understøtter LM-hash som standard. Kerberos bruges i Active Directory-miljøer .

De største ulemper ved LAN Manager-godkendelsesprotokollen er:

1. Alle adgangskoder konverteres til store bogstaver før hashgenerering. Derfor vil adgangskoder som adgangskode, kodeord, kodeord, kodeord, kodeord og andre lignende kombinationer blive konverteret til store bogstaver, dvs. kodeord. Adgangskodetegn er også begrænset til et undersæt på 95 tegn i 256-byte ASCII-tegnsættet.
2. Adgangskodelængden er begrænset til 14 tegn.
3. En adgangskode på 14 tegn opdeles i 7 + 7 tegn, hvorefter hashen udregnes for de to halvdele hver for sig. Denne metode til at beregne hashen letter i høj grad hacking, da angriberen skal prøve 7 tegn to gange i stedet for 14. Styrken af ​​en 14-cifret adgangskode er alt , hvilket er meget mindre end den teoretiske styrke af en 14-cifret adgangskode .
4. Hvis adgangskoden ikke består af mere end 7 tegn, vil anden halvdel af hashen altid vise den samme konstante værdi (0xAAD3B435B51404EE).
5. Hashværdien sendes til netværksservere uden salt , hvilket gør den sårbar over for man-in-the-middle- angreb og gør det også muligt at oprette regnbuetabeller.

LM hash detaljer

LM-hash (også kendt som LanMan-hash eller LAN Manager-hash) er en adgangskode-hash-funktion, der bruges i versioner af Microsoft LAN Manager og Microsoft Windows til at gemme brugeradgangskoder før Windows NT. Understøttelse af den ældre LAN Manager-protokol fortsatte i senere versioner af Windows for bagudkompatibilitet, men Microsoft anbefalede, at administratorer deaktiverede protokollen; i Windows Vista er protokollen deaktiveret som standard.

Algoritme

LM-hashen beregnes som følger: [1] [2]

1. Længden af ​​brugeradgangskoden er begrænset til 14 tegn. Hvis adgangskoden er længere end 14 tegn, kan hashen ikke beregnes.
2. Adgangskoden konverteres til store bogstaver.
3. Adgangskoden er kodet i OEM -kodetabelsystemet . [3]
4. Adgangskoden er polstret med nuller op til 14 bytes. [fire]
5. Adgangskoden er opdelt i to dele af 7 bytes.
6. Disse værdier bruges til at oprette to DES -nøgler , en fra hver 7-byte halvdel. 7 bytes konverteres til en strøm af bit, og der indsættes et nul efter hver 7. bit. Dette skaber de 64 bit, der kræves til en DES-nøgle.
7. Hver af disse nøgler bruges til at DES kryptere ASCII - strengen " KGS!@#$%", hvilket resulterer i to 8-byte krypterede værdier. DES CipherMode skal indstilles til ECB og PaddingMode skal indstilles til NONE.
8. Disse to chiffertekstværdier kombineres for at danne en 16-byte værdi, som er LM-hash.

Sikkerhedssårbarheder

Selvom LM-hashen er baseret på kvalitets DES -blokchifferet , er det ikke en envejsfunktion , da adgangskoden kan bestemmes ud fra hashen på grund af flere fejl i dens design: [5] For det første må adgangskoder ikke indeholde mere end 14 tegn, hvilket giver det teoretiske maksimale antal adgangskoder .

For det andet er adgangskoder længere end 7 tegn opdelt i to dele, og hver del hashes separat. Denne fejl gør det muligt at angribe hver halvdel af adgangskoden separat, hvilket reducerer antallet af adgangskoder, der kræves for at brute force til . Derudover ændres alle små bogstaver i adgangskoden til store bogstaver, før adgangskoden hashes, hvilket yderligere reducerer adgangskodepladsen til .

Desuden bruger en LM-hash ikke et kryptografisk salt , en standardmetode til at forhindre ordbogsoptælling . Derfor er angreb som regnbueborde mulige på den . En hvilken som helst adgangskode på mindre end 8 tegn vil også resultere i, at 7 null-bytes hashes, hvilket resulterer i en konstant værdi på 0xAAD3B435B51404EE, hvilket gør det muligt at identificere korte adgangskoder visuelt. I 2003 blev Ophcrack offentliggjort  , et angreb baseret på regnbuetabeller. Den udnytter alle sårbarhederne ved LM-kryptering og inkluderer en database, der er stor nok til at knække næsten alle tal-karakter LM-hashes på få sekunder. Mange cracking-værktøjer såsom RainbowCrack , L0phtCrack og Cain inkluderer nu også sådanne angreb, hvilket gør cracking af LM-hashes trivielt.

Løsninger

For at løse sikkerhedsfejl introducerede Microsoft NTLMv 1-protokollen i 1993. Til hashing bruger NTLM Unicode- understøttelse og erstatter den LMhash=DESeach(DOSCHARSET(UPPERCASE(password)), "KGS!@#$%")med , som ikke kræver udfyldning eller trunkering for at forenkle nøglen. På den anden side var Windows-computere i mange år konfigureret som standard til at sende og modtage svar opnået fra både LM-hash og NTLM-hash, så brug af NTLM-hash gav ikke yderligere sikkerhed, mens mere den svage hash stadig var til stede. NThash=MD4(UTF-16-LE(password))

For at øge sikkerheden blev det anset for god praksis at deaktivere LM- og NTLMv1-godkendelsesprotokollerne, hvor de ikke var nødvendige. Fra og med Windows Vista og Windows Server 2008 deaktiverede Microsoft LM-hashen som standard; denne funktion kan aktiveres for lokale konti via en sikkerhedspolitikindstilling. Brugere kan også forhindre en LM-hash i at blive genereret til deres adgangskode ved at bruge en adgangskode på mindst femten tegn.

Årsager til den fortsatte brug af LM-hash

Det tog lang tid for mange ældre SMB -implementeringer at tilføje understøttelse af de stærkere protokoller skabt af Microsoft for at erstatte LM-hashing, fordi de open source-fællesskaber, der understøtter disse biblioteker, først var nødt til at reverse engineering af de nye protokoller - det tog Samba 5 år at tilføje support til NTLMv2 , mens JCIFS tog 10 år.

Se også

• NT LAN Manager
• Active Directory
• Adgangskodeknækning
• Ordbogssøgning

Noter

1. ↑ Kapitel 3 - Operativsysteminstallation: LMHash . Microsoft TechNet . Hentet 12. maj 2015. Arkiveret fra originalen 18. maj 2015. (ubestemt)
2. ↑ Glass, Eric NTLM Authentication Protocol and Security Support Provider: The LM Response . Hentet 12. maj 2015. Arkiveret fra originalen 18. marts 2012. (ubestemt)
3. ↑ Liste over lokaliserede MS-operativsystemer (utilgængeligt link) . Microsoft Developer Network . Hentet 12. maj 2015. Arkiveret fra originalen 18. maj 2015. (ubestemt) 
4. ↑ Adgangskode til klyngetjenestekonto skal indstilles til 15 eller flere tegn, hvis NoLMHash-politikken er aktiveret . Microsoft (30. oktober 2006). Hentet 12. maj 2015. Arkiveret fra originalen 10. september 2014. (ubestemt)
5. ↑ Johansson, Jasper M. Windows-adgangskoder: Alt hvad du behøver at vide . Microsoft (29. juni 2004). Hentet 12. maj 2015. Arkiveret fra originalen 12. januar 2015. (ubestemt)
6. ↑ Windows NT 4.0 Service Pack 4 Readme.txt-fil (40-bit) . Microsoft (25. oktober 1998). Hentet 12. maj 2015. Arkiveret fra originalen 31. december 2014. (ubestemt)
7. ↑ Samba-holdet annoncerer den første officielle udgivelse af Samba 3.0 . SAMBA (24. september 2003). Hentet 12. maj 2015. Arkiveret fra originalen 16. december 2014. (ubestemt)
8. ↑ Java CIFS-klientbiblioteket . Hentet 12. maj 2015. Arkiveret fra originalen 10. maj 2015. (ubestemt)
9. ↑ AIX 5.3 Netværk og kommunikationsstyring: Server Message Block-filsystem . IBM (15. marts 2010). Hentet 12. maj 2015. Arkiveret fra originalen 18. maj 2015. (ubestemt)
10. ↑ AIX 7.1 Netværk og kommunikationsstyring: Server Message Block-filsystem . IBM (5. december 2011). Hentet 12. maj 2015. Arkiveret fra originalen 18. maj 2015. (ubestemt)

Links

• Microsoft LAN Manager