Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

Speichern der Authentifizierer 25
Kennwortverifizierer
Wenn Sie schon in einer Windows Active Directory-Umgebung gearbeitet haben, ist Ihnen
wahrscheinlich aufgefallen, dass Sie ein Notebook, das Domänenmitglied ist, mitnehmen
und sich auch dann mit einem Domänenkonto authentifizieren können, wenn Sie gar keine
Verbindung zur Domäne haben. Diese erstaunliche Fähigkeit haben Sie dem sogenannten
Kennwortverifizierer (engl. password verifier) zu verdanken. Der Kennwortverifizierer
(auch oft als zwischengespeicherte Anmeldeinformationen oder engl. cached credentials
bezeichnet) ist eine lokale Kopie des Hashwerts Ihres Domänenkennworts, mit dem Sie sich
lokal anmelden können. In Betriebssystemversionen vor Windows Vista wurde der Hashwert
mit dem Prozess generiert, der in Abbildung 2.4 dargestellt ist.
Abbildung 2.4 In älteren Windows-Versionen war der Kennwortverifizierer einfach der
Hashwert eines Hashwerts, bei dem der Benutzername als Saltwert verwendet wurde
In den letzten Jahren haben sich Angreifer auf den Kennwortverifizierer konzentriert und
mit der Entwicklung von Tools begonnen, die ihn knacken sollen. Auch wenn es sich um
einen mit Saltwert berechneten Hashwert eines Hashwerts handelt, der somit schwierig zu
knacken ist, kann der Kennwortverifizierer geknackt werden, falls das Kennwort relativ
unsicher ist. Um dieser Gefahr vorzubeugen, wurde die Berechnung des Kennwortverifizie-