Bir kurumsal ağda saldırganın en çok istediği şey, gürültü çıkarmadan geçerli bir parola ele geçirmektir. AS-REP Roasting tam da bunu sağlayan sinsi bir yöntemdir: saldırgan tek bir hesaba parola denemesi yapmadan, sunucudan aldığı şifreli bir veri parçasını kendi bilgisayarında sabırla kırmaya çalışır. Kurbanın sisteminde hiçbir başarısız giriş kaydı oluşmadığından saldırı uzun süre fark edilmeyebilir.

Tekniğin işlemesi için özel bir koşul gerekir ve bu koşul aslında bir yapılandırma zaafıdır. Normalde kimlik doğrulama sistemi, bir kullanıcı adına bilet istendiğinde önce o kullanıcının gerçekten orada olduğunu ispatlamasını bekler. Bu ispat kapatıldığında ise sunucu, kimliği doğrulanmamış herhangi birine dahi şifreli yanıt vermeye razı olur.

AS-REP Roasting, ön kimlik doğrulaması kapalı hesapların şifreli kimlik yanıtını çevrimdışı parola kırma için elde etmeye dayanan bir tekniktir.

Ön kimlik doğrulaması neden bu kadar önemli?

Saldırının kalbinde Kerberos kimlik doğrulama protokolünün bir ayrıntısı yatar. Kerberos’ta ön kimlik doğrulaması açık olduğunda, kullanıcı bilet istemeden önce parolasından türetilen bir zaman damgasını sunucuya gönderip kimliğini kanıtlar. Bir hesapta bu özellik kapatılmışsa, saldırgan hiçbir parola bilmeden o hesap için bilet talep edebilir ve sunucudan kullanıcının parola hash’iyle şifrelenmiş bir yanıt alır. İşte bu yanıt, çevrimdışı kırma denemeleri için elverişli bir malzemedir.

Çevrimdışı kırmanın avantajı

Saldırgan elde ettiği şifreli yanıtı ağdan tamamen kopararak kendi güçlü donanımında milyarlarca parola tahminini deneyebilir. Bu sırada kurumun sistemleri hiçbir anormallik görmez; hesap kilitlenmez, alarm çalmaz. Zayıf bir parolaysa dakikalar içinde çözülür. Bu yönüyle teknik, geniş çaplı Active Directory güvenliği değerlendirmelerinde saldırganların ilk denediği düşük maliyetli yollardan biridir; çünkü tek gereken, ağda ön kimlik doğrulaması kapalı en az bir hesabın bulunmasıdır.

• Ön kimlik doğrulaması kapalı hesapları tespit edip mümkün olduğunca açmak
• Bu özelliğin kapalı kalması zorunluysa hesaba çok güçlü ve uzun parola atamak
• Anormal bilet taleplerini izlemek için kimlik denetim kayıtlarını toplamak
• Hizmet ve eski uygulama hesaplarını düzenli olarak gözden geçirmek

Saldırının devamı: kırılan paroladan sonra

Kırılan parola tek başına bir son değil, çoğu zaman bir başlangıçtır. Ele geçirilen hesap üzerinden saldırgan ağda yatay olarak ilerleyebilir; edindiği geçerli biletleri kullanarak başka sistemlere sıçradığı Bilet geçirme tekniğine geçebilir ya da elindeki dayanağı bir sonraki hedefe zemin yaparak adım adım Yetki yükseltme peşine düşebilir. Böylece küçük bir yapılandırma zaafı, alan yöneticiliğine giden zincirin ilk halkasına dönüşür.

Bu zincirin ne kadar ileri gidebileceğini kâğıt üzerinde tahmin etmek yerine sahada denemek çok daha gerçekçi sonuç verir. Kurumun Active Directory ortamındaki bu tür zayıf hesapları ve saldırı yollarını kontrollü biçimde ortaya çıkarmak için gerçek saldırgan taktiklerini taklit eden red team hizmeti güçlü bir yöntemdir.