In den Sagen des Altertums bewacht Kerberos das Tor zur Unterwelt. Er ist ein großer, dreiköpfiger Hund mit einer Schlange als Schwanz und einem wirklich aufbrausenden Temperament.
In der modernen Welt haben die Informatiker vom MIT den Namen und das Bild von Kerberos für ihr Computernetzwerk-Authentifizierungsprotokoll übernommen. Kerberos arbeitet mit symmetrischer Verschlüsselung und verlangt die Autorisierung durch eine vertrauenswürdige dritte Partei, um die Identität von Benutzern zu verifizieren. Weil Kerberos drei Entitäten für die Authentifizierung verlangt und Computer sehr erfolgreich sicher gehalten hat, ist der Name wirklich passend.
Die Kerberos-Authentifizierung ist gegenwärtig die Standard-Authentifizierungstechnologie unter Windows und auch für Apple OS, FreeBSD, UNIX und Linux gibt es Kerberos-Implementierungen.
Microsoft hat seine Version von Kerberos mit Windows 2000 eingeführt. Kerberos ist auch für Websites und SSO-Implementierungen plattformübergreifend zum Standard geworden. Das Kerberos-Konsortium pflegt Kerberos als Open-Source-Projekt.
Kerberos stellt den vorherigen Autorisierungstechnologien gegenüber eine enorme Verbesserung dar. Die starke Verschlüsselung und Ticket-Autorisierung durch eine dritte Partei machen es Cyberkriminellen seht viel schwerer, in Ihr Netzwerk einzudringen. Es ist nicht völlig fehlerfrei, und um sich gegen seine Fehler schützen zu können, müssen Sie diese zunächst verstehen.
Kerberos hat das Internet sicherer gemacht und versetzt Benutzer in die Lage, mehr Dinge im Internet und im Büro zu tun, ohne die eigene Sicherheit zu gefährden.
Vor Kerberos nutzte Microsoft eine Authentifizierungstechnologie namens NTLM. NTLM steht für NT LAN Manager und ist ein Challenge-Response-Authentifizierungsprotokoll. Der Zielcomputer oder Domain-Controller fordern das Passwort an, überprüfen es und speichern Passwort-Hashes für die weitere Verwendung.
Der größte Unterschied zwischen den beiden Systemen liegt in der Verifizierung durch Dritte und der stärkeren Verschlüsselungsfunktion von Kerberos. Dieser Extraschritt im Prozess führt zu einer bedeutsamen zusätzlichen Sicherheitsebene gegenüber NTLM.
NTLM-Systeme können heutztage innerhalb einiger Stunden gehackt werden: Es ist einfach eine ältere Technologie und Sie sollten sich für den Schutz Ihrer sensiblen Daten nicht auf NTLM verlassen.
Bei der Authentifizierung in einer Umgebung mit Kerberos werden folgende grundlegenden Schritte durchlaufen:
Wenn der Client Zugriff auf einen Dienst oder eine Ressource im Netzwerk anfordert, läuft das folgendermaßen ab:
Ja. Weil Kerberos zu den am weitesten verbreiteten Authentifizierungsprotokollen gehört, haben Hacker eine Reihe von Methoden entwickelt, um es zu knacken. Die meisten dieser Hacks nutzen eine Sicherheitslücke, schwache Passwörter oder Malware – und manchmal eine Kombination dieser drei Elemente. Zu den erfolgreicheren Methoden zum Hacken von Kerberos gehören:
Kerberos ist weit davon entfernt, obsolet zu sein, und hat sich trotz der Möglichkeit, durch Angreifer geknackt zu werden, als zweckdienliches Protokoll für die Kontrolle der Zugriffssicherheit bewährt. Der primäre Vorteil von Kerberos ist die Fähigkeit, Passwörter und Authentifizierungstickets mit starken Verschlüsselungsalgorithmen zu schützen. Mit den heutigen Computern wird jeder Brute Force-Angriff auf das AES-Verschlüsselungsprotokoll, das von den aktuellen Kerberos-Versionen verwendet wird, voraussichtlich länger dauern, als unser Sonnensystem existieren wird. Kurz gesagt: Kerberos wird uns in der einen oder anderen Form noch eine ganze Weile erhalten bleiben.
Es sind keine wirklich guten Kandidaten zu erkennen, die Kerberos ablösen könnten. Die meisten Fortschritte im Sicherheitsbereich bestehen darin, Ihr Passwort zu schützen oder neue Methoden zu entwickeln, mit denen Sie Kerberos gegenüber Ihre Identität nachweisen. Kerberos bleibt dabei weiterhin die Back-end-Technologie. Auch für Single-Sign-On (SSO) eignet sich Kerberos hervorragend, wodurch es an einem modernen internetbasierten und vernetzten Arbeitsplatz besonders nützlich ist. Bei SSO weisen Sie Ihre Identität einmal gegenüber Kerberos nach, und Kerberos übergibt Ihr TGT als Identitätsnachweis an andere Dienste oder Rechner.
Das schwächste Glied in der Kette von Kerberos ist das Passwort. Passwörter können durch Brute Force-Angriffe geknackt oder mithilfe von Phishing-Angriffen gestohlen werden. Aus diesem Grund wird die Multifaktor-Authentifizierung (MFA) immer beliebter für den Schutz von Online-Identitäten. Bei der MFA benötigen Sie das Passwort und ein weiteres Element – Zufalls-Token, Mobiltelefon, Fingerabdruck, Netzhaut-Scan, Gesichtserkennung o.ä. –, um nachzuweisen, dass Sie wirklich die Person sind, als die Sie sich gegenüber Kerberos ausgeben.
Varonis überwacht die Active Directory-Domänen auf Kerberos-Angriffe, Berechtigungseskalationen, Brute Force-Angriffe und ähnliches. In unseren Sicherheitsanalysen werden Benutzerereignisse, Sicherheitsereignisse und Perimeter-Telemetrie miteinander kombiniert, um potenzielle Angriffe und Sicherheitslücken zu erkennen und zu melden.
Varonis Bedrohungsmodelle, die zur Erkennung von Kerberos-Angriffen beitragen, sind beispielsweise:
Entdecken Sie gleich heute, wie Varonis Kerberos-Angriffe erkennt, mit einer 1:1-Demo – und wenden Sie sich an uns, um mehr über unsere Bedrohungsmodelle zu erfahren.