Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

28 Kapitel 2: Authentifizierung und Authentifizierungsprotokolle
ter durchgehen und feststellen, ob sie bestimmte Wörter enthalten. Solche Organisationen
müssen die Kennwörter mit umkehrbarer Verschlüsselung speichern.
Um die umkehrbare Verschlüsselung zu aktivieren oder zu prüfen, ob sie tatsächlich deaktiviert
ist, können Sie den Gruppenrichtlinien-Editor verwenden (Abbildung 2.6).
Abbildung 2.6 Mit dieser Gruppenrichtlinieneinstellung können Sie einen Computer oder eine
Domäne so konfigurieren, dass Kennwörter umkehrbar verschlüsselt gespeichert werden
Die große Mehrheit von Organisationen benötigt keine umkehrbare Verschlüsselung. Und
wenn Clients aktualisiert werden, sodass sie sicherere Authentifizierungsprotokolle unterstützen,
dürfte es immer weniger Gründe geben, sie zu aktivieren. Die umkehrbare Verschlüsselung
ist aber eine weitere Möglichkeit, wie Windows Kennwörter speichern kann,
und es ist wichtig, dass Sie diese Methode kennen.
Wichtig Viele Leute überfährt ein kalter Schauer, wenn sie hören, dass Windows Kennwörter umkehrbar
verschlüsselt speichern kann. Schließlich weiß jeder, dass es ganz schrecklich ist, wenn Kennwörter im
Klartext gespeichert werden. Aber das geht am eigentlichen Punkt vorbei. Bei jedem kennwortbasierten
System, das heutzutage im Einsatz ist, sind Kennwörter klartextäquivalent ! Kennwortbasierte Systeme
verwenden gemeinsame Geheimnisse. Beim Authentifizierungsprozess wird nur das Geheimnis benutzt,
das auf dem authentifizierenden Server gespeichert ist. Falls ein Angreifer sich Zugriff auf die Kennwortdatenbank
des authentifizierenden Servers verschafft oder auf andere Weise das gemeinsame Geheimnis
in Erfahrung bringt, hat er alles, was er für eine erfolgreiche Authentifizierung benötigt. Er muss sich nur
noch in den richtigen Schritt des Authentifizierungsprozesses einklinken, dann kann er statt des Kennworts,
von dem das gemeinsame Geheimnis abgeleitet ist, gleich das gemeinsame Geheimnis senden. Im Internet
stehen momentan mehrere Tools frei zur Verfügung, die auf diese Weise eine Windows-
Authentifizierung über das Netzwerk durchführen.
Die Tatsache, dass Kennwörter klartextäquivalent sind, ist an sich kein Sicherheitsproblem. Das wird es
erst, wenn ein Angreifer einen Kennworthashwert ausspäht. Wie Ihnen inzwischen klar sein dürfte, sind die
in Windows recht gut geschützt. Falls es ein Angreifer schafft, einen Kennworthashwert in Erfahrung zu
bringen, hat er bereits den Computer so weit oder stärker kompromittiert, wie er es mithilfe dieses Kennworthashwerts
schaffen könnte! Anders ausgedrückt: Der Kennworthashwert gibt ihm keine zusätzlichen
Privilegien auf einem bereits kompromittierten Computer.