Kerberos armoring, resmi adıyla FAST (Flexible Authentication Secure Tunneling), Kerberos kimlik doğrulama trafiğini korumalı bir kanal içine alarak dışarıdan izlenmesini ve kurcalanmasını zorlaştıran bir mekanizmadır. Kimlik doğrulama sırasında gidip gelen mesajları açıkta bırakmak yerine, önceden kurulmuş bir anahtarla oluşturulan bir zarfın içine yerleştirir.

FAST, Kerberos kimlik doğrulamasını açık alanda değil, önceden güvenceye alınmış bir kanalın içinde yürütmenin yoludur.

Hangi Zayıflığı Kapatır?

Klasik Kerberos kimlik doğrulama akışında, ilk istek sırasında dönen bazı mesajlar kullanıcının parolasından türetilen anahtarla şifrelenir. Bu mesajları yakalayan bir saldırgan, çevrimdışı ortamda parola tahminlerini deneyerek doğru anahtarı arayabilir; bu, zayıf parolalar için etkili bir saldırıdır. FAST, bu alışverişi ayrı bir kanal anahtarıyla sardığından, saldırganın yakalayacağı içerik parolaya doğrudan bağlı bir tahmin hedefi sunmaz.

Zırh Anahtarı Nereden Gelir?

FAST’ın kurabilmesi için önce bir zırh anahtarına ihtiyaç vardır. Bu anahtar tipik olarak makinenin kendi hesabından, yani alan adına katılmış bilgisayarın kimlik bilgisinden türetilir. Böylece kullanıcı henüz kimliğini kanıtlamadan önce, makine kimliği üzerinden güvenli bir kanal hazır olur ve kullanıcının kimlik doğrulama alışverişi bu kanalın içinde akar. Bu tasarım, FAST’ı özellikle Active Directory güvenliği ortamlarında pratik kılar; çünkü makine hesapları zaten mevcuttur.

Hangi Saldırılara Karşı Sertleştirir?

FAST’ın kanalı, kimlik doğrulama mesajlarının araya girilerek değiştirilmesini ve içeriğin çevrimdışı parola saldırısı için toplanmasını zorlaştırır. Kanal bütünlüğü, mesajların yolda kurcalanıp kurcalanmadığını da yakalar. Bu koruma, saldırganların kimlik doğrulama trafiğinden elde ettikleri malzemeyi sonraki adımlarda kullandığı senaryoları kırar:

• Çevrimdışı parola tahmini için ilk-istek trafiğinin toplanması
• Kimlik doğrulama mesajlarının araya girilerek değiştirilmesi
• Kanalın kurcalanmasıyla oturum verilerinin manipülasyonu

Daha Geniş Savunmadaki Yeri

FAST tek başına her tehdidi kapatmaz; örneğin çalınmış bir bileti yeniden kullanan bilet geçirme gibi saldırılar farklı katmanlarda ele alınır. Yine de kimlik doğrulama alışverişini sertleştirmek, saldırganların ele geçirdikleri düşük yetkili bir konumdan daha yüksek haklara ulaşmaya çalıştığı yetki yükseltme zincirlerinin ilk halkalarını zayıflatır. Bu nedenle FAST, kimlik altyapısı sertleştirme önerilerinde giderek daha çok yer bulur.

FAST’ın etkin kılınması, makine hesaplarının sağlığı ve alan adı denetleyicilerinin yapılandırmasıyla iç içedir; bu bileşenlerin birlikte gözden geçirilmesi için Privia Security’nin altyapı ve mimari gözden geçirme hizmetine başvurabilirsiniz.