Manager LAN

LAN Manager  este un sistem de operare în rețea dezvoltat de Microsoft în colaborare cu 3Com Corporation . A fost conceput pentru a înlocui software-ul de server de rețea 3+Share al 3Com, care rula pe o versiune de MS-DOS puternic modificată .

Istorie

LAN Manager a fost bazat pe sistemul de operare OS/2 , dezvoltat în comun de IBM și Microsoft . Inițial, a folosit protocolul Server Message Block peste protocolul NetBIOS Frames (NBF) sau o versiune specializată a protocolului Xerox Network Services (XNS). Aceste protocoale moștenite au fost moștenite de la produse anterioare, cum ar fi MS-Net pentru MS-DOS , Xenix-NET pentru MS-Xenix și 3+Share menționat mai sus. Era disponibilă și o versiune Unix a LAN Manager numită LAN Manager/X.

În 1990, Microsoft a anunțat LAN Manager 2.0 cu multe îmbunătățiri, inclusiv suport pentru TCP/IP ca protocol de transport. Cea mai recentă versiune a LAN Manager 2.2, care includea sistemul de operare de bază MS-OS/2 1.31, a rămas sistemul de operare pentru server al Microsoft până la lansarea Windows NT Advanced Server în 1993.

Versiuni

• 1987 - MS LAN Manager 1.0 (de bază/îmbunătățit)
• 1989 - MS LAN Manager 1.1
• 1991 - MS LAN Manager 2.0
• 1992 - MS LAN Manager 2.1
• 1992 - MS LAN Manager 2.1a
• 1993 - MS LAN Manager 2.2
• 1994 - MS LAN Manager 2.2a

Mulți furnizori au furnizat versiuni licențiate, inclusiv:

• 3Com Corporation 3+Deschis
• HP LAN Manager/X
• IBM LAN Server
• Tapiserie Torus
• Operațiunea Santa Cruz

Sistem de securitate

Autentificarea LAN Manager (LM) este un protocol utilizat pentru autentificarea clienților Windows pentru operațiunile de rețea, inclusiv conexiunile de domeniu, accesul la resursele de rețea și autentificarea utilizatorului sau computerului. Nivelul de autentificare LM determină ce cerere/răspuns negociază protocolul între client și server. Valoarea specificată pentru parametrul LmCompatibilityLevel determină ce protocol de autentificare va fi utilizat la conectarea la rețea. Această valoare afectează nivelul protocolului de autentificare utilizat de clienți, nivelul de securitate a sesiunii negociat și nivelul de autentificare acceptat de servere. Opțiuni posibile:

Criptanaliză

Autentificarea LAN Manager folosește o metodă slabă de hashing a parolei utilizatorului, cunoscută sub numele de algoritm de hash LM, care a apărut la mijlocul anilor 1980, când virușii au devenit problema principală, mai degrabă decât atacurile de înaltă frecvență în rețea . Acest lucru face ca astfel de hashe-uri să fie crackabile în câteva secunde cu tabelele curcubeu sau în ore cu forța brută . Utilizarea sa în Windows NT a fost înlocuită de NTLM , ale cărui versiuni mai vechi sunt încă vulnerabile la tabelele curcubeu, dar mai puțin vulnerabile la atacurile cu forță brută. NTLM este utilizat pentru autentificarea cu conturi locale, deoarece Windows Vista și mai târziu nu mai acceptă hash-ul LM în mod implicit. Kerberos este utilizat în mediile Active Directory .

Principalele dezavantaje ale protocolului de autentificare LAN Manager sunt:

1. Toate parolele sunt convertite în majuscule înainte de generarea hash. Prin urmare, parole precum parola, parola, parola, parola și alte combinații similare vor fi convertite în majuscule, adică PAROLA. Caracterele parolei sunt, de asemenea, limitate la un subset de 95 de caractere în setul de caractere ASCII de 256 de octeți.
2. Lungimea parolei este limitată la 14 caractere.
3. O parolă de 14 caractere este împărțită în 7 + 7 caractere, după care hash-ul este calculat pentru cele două jumătăți separat. Această metodă de calculare a hash-ului facilitează foarte mult hacking-ul, deoarece atacatorul trebuie să încerce 7 caractere de două ori în loc de 14. Puterea unei parole de 14 cifre este totul , ceea ce este mult mai mică decât puterea teoretică a unei parole de 14 cifre .
4. Dacă parola constă din cel mult 7 caractere, a doua jumătate a hash-ului va afișa întotdeauna aceeași valoare constantă (0xAAD3B435B51404EE).
5. Valoarea hash este trimisă la serverele de rețea fără o sare , făcându-l vulnerabil la atacurile man-in-the-middle și, de asemenea, permite crearea tabelelor curcubeu.

Detalii hash LM

LM hash (cunoscut și ca LanMan hash sau LAN Manager hash) este o funcție de hashing a parolei utilizată în versiunile Microsoft LAN Manager și Microsoft Windows pentru a stoca parolele utilizatorului înainte de Windows NT. Suportul pentru protocolul LAN Manager moștenit a continuat în versiunile ulterioare de Windows pentru compatibilitate cu versiunea anterioară, dar Microsoft a recomandat administratorilor să dezactiveze protocolul; în Windows Vista, protocolul este dezactivat implicit.

Algoritm

Hash-ul LM se calculează după cum urmează: [1] [2]

1. Lungimea parolei utilizatorului este limitată la 14 caractere. Dacă parola are mai mult de 14 caractere, hash-ul nu poate fi calculat.
2. Parola este convertită în majuscule.
3. Parola este codificată în sistemul de pagină de coduri OEM . [3]
4. Parola este completată cu zerouri de până la 14 octeți. [patru]
5. Parola este împărțită în două părți de 7 octeți.
6. Aceste valori sunt folosite pentru a crea două chei DES , una din fiecare jumătate de 7 octeți. 7 octeți sunt convertiți într-un flux de biți și un zero este inserat după fiecare 7 biți. Acest lucru creează cei 64 de biți necesari pentru o cheie DES.
7. Fiecare dintre aceste chei este folosită pentru a cripta DES șirul ASCIIKGS!@#$% „ „, rezultând două valori criptate de 8 octeți. DES CipherMode trebuie setat la ECB și PaddingMode trebuie setat la NONE.
8. Aceste două valori de text cifrat sunt combinate pentru a forma o valoare de 16 octeți, care este hash-ul LM.

Vulnerabilitati de securitate

Deși hash-ul LM se bazează pe cifrul bloc de calitate DES , nu este o funcție unidirecțională , deoarece parola poate fi determinată din hash datorită mai multor defecte în designul său: [5] În primul rând, parolele nu pot conține mai mult de 14 caractere, ceea ce oferă numărul maxim teoretic de parole .

În al doilea rând, parolele mai lungi de 7 caractere sunt împărțite în două părți, iar fiecare parte este hashing separat. Acest defect permite ca fiecare jumătate a parolei să fie atacată separat, reducând numărul de parole necesare forței brute la . În plus, toate literele mici din parolă sunt schimbate în majuscule înainte ca parola să fie hashing, reducând și mai mult spațiul parolei la .

De asemenea, un hash LM nu folosește o sare criptografică , o metodă standard pentru prevenirea enumerării dicționarului . Prin urmare, sunt posibile atacuri precum mesele curcubeu . De asemenea, orice parolă cu lungimea mai mică de 8 caractere va avea ca rezultat 7 octeți nuli de hashing, rezultând o valoare constantă de 0xAAD3B435B51404EE, permițând identificarea vizuală a parolelor scurte. În 2003, a fost publicat Ophcrack  , un atac bazat pe tabelele curcubeu. Acesta exploatează toate vulnerabilitățile criptării LM și include o bază de date suficient de mare pentru a sparge aproape toate hashurile LM cu caractere numerice în câteva secunde. Multe instrumente de cracare, cum ar fi RainbowCrack , L0phtCrack și Cain , includ acum, de asemenea, astfel de atacuri, făcând spargerea hashurilor LM banală.

Soluții alternative

Pentru a rezolva defectele de securitate, Microsoft a introdus protocolul NTLMv 1 în 1993. Pentru hashing, NTLM folosește suport Unicode , înlocuindu-l LMhash=DESeach(DOSCHARSET(UPPERCASE(password)), "KGS!@#$%")cu , care nu necesită nicio umplutură sau trunchiere pentru a simplifica cheia. Pe de altă parte, timp de mulți ani computerele Windows au fost configurate implicit să trimită și să primească răspunsuri obținute atât din hash-ul LM, cât și din hash-ul NTLM, astfel încât utilizarea hash-ului NTLM nu a oferit securitate suplimentară, în timp ce mai mult hash-ul slab era încă prezent. NThash=MD4(UTF-16-LE(password))

Pentru a crește securitatea, a fost considerată o bună practică de a dezactiva protocoalele de autentificare LM și NTLMv1 acolo unde nu erau necesare. Începând cu Windows Vista și Windows Server 2008, Microsoft a dezactivat implicit hash-ul LM; această caracteristică poate fi activată pentru conturile locale printr-o setare de politică de securitate. De asemenea, utilizatorii pot împiedica generarea unui hash LM pentru parola lor, folosind o parolă care are cel puțin cincisprezece caractere.

Motive pentru continuarea utilizării hash-ului LM

A durat mult timp pentru ca multe implementări vechi SMB să adauge suport pentru protocoalele mai puternice create de Microsoft pentru a înlocui hashingul LM, deoarece comunitățile open source care susțin aceste biblioteci au trebuit mai întâi să facă inginerie inversă noilor protocoale - Samba i-a luat 5 ani pentru a adăuga suport pentru NTLMv2 , în timp ce JCIFS a durat 10 ani.

Vezi și

• NT LAN Manager
• Director activ
• Schimbarea parolei
• Dicţionar search

Note

1. ↑ Capitolul 3 - Instalarea sistemului de operare: LMHash . Microsoft TechNet . Preluat la 12 mai 2015. Arhivat din original la 18 mai 2015. (nedefinit)
2. ↑ Glass, Eric Protocolul de autentificare NTLM și furnizorul de asistență pentru securitate: răspunsul LM . Consultat la 12 mai 2015. Arhivat din original la 18 martie 2012. (nedefinit)
3. ↑ Lista sistemelor de operare MS localizate (link inaccesibil) . Rețeaua de dezvoltatori Microsoft . Preluat la 12 mai 2015. Arhivat din original la 18 mai 2015. (nedefinit) 
4. ↑ Parola contului de serviciu de cluster trebuie să fie setată la 15 sau mai multe caractere dacă politica NoLMHash este activată . Microsoft (30 octombrie 2006). Consultat la 12 mai 2015. Arhivat din original la 10 septembrie 2014. (nedefinit)
5. ↑ Johansson, Jasper M. Parole Windows: Tot ce trebuie să știți . Microsoft (29 iunie 2004). Preluat la 12 mai 2015. Arhivat din original la 12 ianuarie 2015. (nedefinit)
6. ↑ Windows NT 4.0 Service Pack 4 Fișier Readme.txt (40 de biți) . Microsoft (25 octombrie 1998). Consultat la 12 mai 2015. Arhivat din original la 31 decembrie 2014. (nedefinit)
7. ↑ Echipa Samba anunță prima lansare oficială a Samba 3.0 . SAMBA (24 septembrie 2003). Consultat la 12 mai 2015. Arhivat din original la 16 decembrie 2014. (nedefinit)
8. ↑ Biblioteca client Java CIFS . Preluat la 12 mai 2015. Arhivat din original la 10 mai 2015. (nedefinit)
9. ↑ AIX 5.3 Managementul rețelelor și comunicațiilor: Sistemul de fișiere Server Message Block . IBM (15 martie 2010). Preluat la 12 mai 2015. Arhivat din original la 18 mai 2015. (nedefinit)
10. ↑ AIX 7.1 Managementul rețelelor și comunicațiilor: Sistem de fișiere Server Message Block . IBM (5 decembrie 2011). Preluat la 12 mai 2015. Arhivat din original la 18 mai 2015. (nedefinit)

Link -uri

• Microsoft LAN Manager