AS-REP roasting : traquer les comptes sans préauthentification Kerberos
L'AS-REP roasting est un cousin du Kerberoasting, plus rare mais encore plus simple à exploiter. Il vise les comptes pour lesquels la préauthentification Kerberos a été désactivée, souvent pour une raison oubliée depuis longtemps. Les repérer ne prend que quelques secondes.
Le rôle de la préauthentification
Lors d'une demande de ticket initial (TGT), le client prouve normalement qu'il connaît le mot de passe en chiffrant un horodatage avec sa clé. C'est la préauthentification. Si elle est désactivée, le contrôleur de domaine renvoie une réponse AS-REP dont une partie est chiffrée avec la clé de l'utilisateur, à quiconque la demande. Un attaquant peut alors tenter de casser ce mot de passe hors ligne, et il n'a même pas besoin d'un compte du domaine s'il connaît les noms d'utilisateurs visés.
Pourquoi cette option existe
L'option « Ne pas exiger la préauthentification Kerberos » a été prévue pour des implémentations Kerberos anciennes, notamment certains clients Unix ou applications historiques qui ne géraient pas la préauthentification. Aujourd'hui, ce besoin est exceptionnel. On la retrouve plutôt après un dépannage expéditif, une migration ou un script de provisionnement mal paramétré.
Trouver les comptes concernés
L'option correspond au drapeau DONT_REQ_PREAUTH (valeur 4194304) de l'attribut userAccountControl. Deux requêtes suffisent :
Get-ADUser -Filter 'DoesNotRequirePreAuth -eq $true' -Properties DoesNotRequirePreAuth, PasswordLastSet, Enabled, adminCount |
Select-Object SamAccountName, Enabled, PasswordLastSet, adminCount
Get-ADObject -LDAPFilter "(userAccountControl:1.2.840.113556.1.4.803:=4194304)"
La seconde, en filtre LDAP brut, est utile dans les outils qui ne passent pas par le module ActiveDirectory.
Corriger
- Pour chaque compte, identifier le propriétaire et l'usage réel.
- Réactiver la préauthentification :
Set-ADAccountControl -Identity compte -DoesNotRequirePreAuth $false. - Réinitialiser le mot de passe si le compte a été exposé longtemps, avec une valeur longue et aléatoire.
- Si une application exige vraiment l'option, isoler le compte, lui retirer tout privilège et lui imposer un mot de passe très long.
Variante ciblée. Un attaquant qui dispose d'un droit d'écriture sur un compte peut désactiver lui-même la préauthentification, récupérer l'AS-REP puis rétablir l'option. Surveiller les délégations d'écriture sur les comptes sensibles est donc aussi important que la présence du drapeau.
Détecter
L'événement 4768 (demande de TGT) sur les contrôleurs de domaine indique le type de préauthentification utilisé. Une valeur à 0 signale une demande sans préauthentification. Dans un domaine assaini, ces événements devraient être très rares, ce qui en fait une alerte simple à mettre en place. Les modifications de userAccountControl peuvent également être suivies via les événements de changement de compte.
En résumé
- la préauthentification Kerberos doit être active sur tous les comptes, sauf exception documentée ;
- une requête PowerShell suffit pour les repérer ;
- les droits d'écriture sur les comptes doivent être maîtrisés pour éviter la variante ciblée.