PACRequestorEnforcement y autenticación Kerberos

Durante el Patch Tuesday de noviembre de 2021, Microsoft lanzó nuevas actualizaciones de seguridad para Kerberos. Incluyen nuevos eventos de sistema y nuevas estructuras en el Certificado de Atributo Privilegiado de Kerberos (PAC). Veamos qué impacto pueden tener estas actualizaciones en las operaciones y en los ataques basados en tickets de Kerberos.

¿Qué hay de nuevo?

De acuerdo con las actualizaciones estándar de Microsoft, hay algunos nuevos artículos KB así como actualizaciones de protocolo. En el que nos centraremos aquí es KB5008380, que detalla las actualizaciones para CVE-2021-42287.

Clave del Registro PACRequestorEnforcement

Las actualizaciones tienen tanto una fase de despliegue como una fase de aplicación. Para pruebas y rapidez, puedes implementar la aplicación en cualquier momento antes de que salga la actualización de aplicación (actualmente programada para el 12 de julio de 2022).

Puede configurar el comportamiento del parche aplicando la clave de registro DWORD PACRequestorEnforcement en HKEY_LOCAL_MACHINESystemCurrentControlSetServicesKdc en sus controladores de dominio.

PACRequestorEnforcement puede tener los siguientes valores:

Actualizaciones de protocolo

Las actualizaciones de noviembre de 2021 también incluyeron múltiples actualizaciones de protocolo para Kerberos y Active Directory; puedes encontrar un resumen de ellas aquí. Para más detalles, necesitarás revisar los erratas y luego el documento de diferencias en los erratas.

Estructura PAC actualizada

El Certificado de Atributo Privilegiado se utiliza para codificar la información de autorización de los usuarios autenticados; contiene membresías de grupo, historial de SID e información general del usuario. En las actualizaciones de noviembre de 2021, Microsoft agregó dos nuevas estructuras de datos dentro del PAC: PAC_ATTRIBUTES_INFO y PAC_REQUESTOR. Cuando PACRequestorEnforcement se establece en 2, ambos campos nuevos son necesarios para que el ticket de Kerberos sea exitoso.

Una de las partes más interesantes de las actualizaciones es la nueva validación introducida con la estructura PAC_REQUESTOR. Cuando esta estructura se incluye en un ticket de Kerberos, el KDC (controlador de dominio) ahora valida que el nombre del cliente (cname) (también conocido como el nombre de usuario) se resuelva al mismo SID que se utiliza en la estructura PAC_REQUESTOR, siempre que el cliente y el KDC estén en el mismo dominio. Si no coincide, entonces el TGT que se utilizó se revoca automáticamente y no se puede utilizar. Esto ocurre solo cuando el cliente y el KDC están en el mismo dominio.

¿Qué significa esto para los Golden Tickets?

Un Golden Ticket es un ticket Kerberos falsificado que los atacantes utilizan para obtener acceso a recursos altamente privilegiados durante largos períodos de tiempo manipulando el PAC.

Cuando el modo de aplicación está activo, las herramientas que crean Golden Tickets deberán utilizar el campo PAC_REQUESTOR, el cual está sujeto a validación por parte del controlador de dominio. Esto significa que ya no es posible crear Golden Tickets para usuarios inexistentes cuando todos están en el mismo dominio. Sin embargo, todavía es posible utilizar usuarios inexistentes con Trust Tickets (Golden Tickets creados para autenticarse a través de una confianza porque la validación se completa solo cuando la cuenta está en el mismo dominio que el controlador de dominio).

Los nuevos eventos (que se detallan en las notas de actualización) pueden proporcionar más indicadores de Golden Tickets, como exploits mal construidos o no actualizados. Estos nuevos eventos deben recopilarse en un SIEM si estás utilizando el registro de Windows para la detección de amenazas. La tabla a continuación detalla los diferentes eventos:

Problemas con la actualización

Lamentablemente, en la versión inicial de las actualizaciones de noviembre de 2021, ciertos escenarios de Kerberos delegation se vieron afectados, por lo que se lanzó un nuevo parche fuera de banda para los clientes que enfrentaban este problema. Sander Berkouwer en DirTeam tiene un buen artículo sobre esto aquí, con enlaces a cada uno de los KB disponibles.

Conclusión

Aunque esta es una buena actualización y un paso en la dirección correcta, sería excelente si continuamos viendo más mejoras en el protocolo por parte de Microsoft para Kerberos, como validar la nueva estructura PAC_REQUESTOR a través de confianzas (lo que debería eliminar todos los Golden Tickets de usuarios no existentes), verificar que las membresías en el PAC sean las del usuario resuelto, y quizás incluso verificar que la información en el perfil del usuario esté en el PAC y que la estructura del PAC cumpla con los estándares. Contar con más detecciones y prevenciones nativas nunca es malo y ayudará a las empresas a defenderse mejor.