Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

34 Kapitel 2: Authentifizierung und Authentifizierungsprotokolle
NTLMv2 ist eine stark verbesserte Version von NTLM. Sie arbeitet ebenfalls mit dem
NT-Hash. Allerdings nimmt sie zusätzlich eine Clientfrage in die Berechnung auf. Abbildung
2.10 zeigt den Authentifizierungsablauf unter NTLMv2.
Abbildung 2.10 Das Protokoll NTLMv2 verwendet HMAC-MD5 und eine Clientfrage
Wie Abbildung 2.10 zeigt, verwendet das NTLMv2-Protokoll nicht nur eine Clientfrage,
sondern berechnet auch zwei HMAC-MD5-Nachrichtenauthentifizierungscodes, um die
Antwort zu erstellen. Außerdem enthält es einen Zeitstempel, um Replay-Angriffe abzuwehren.
Abbildung 2.10 zeigt auch eine LMv2-Antwort, die in der Antwort enthalten ist. Die
LMv2-Antwort hat im Gegensatz zur NTLMv2-Antwort eine feste Länge. Sie wird mit
übertragen, um eine Pass-through-Authentifizierung für ältere Windows-Versionen wie zum
Beispiel Windows 95 zu ermöglichen. Als NTLMv2 entworfen wurde, wurden diese Systeme
weithin eingesetzt.
Windows 9x bot keine native Unterstützung für NTLMv2, leitete aber die LM-Antwort weiter.
Es schnitt aber Teile der unterschiedlich langen NTLMv2-Antwort ab, was die Authentifizierung
verhinderte. Um dieses Problem zu vermeiden, wurde die LMv2-Antwort in das
LM-Antwortfeld aufgenommen. Weil es dieselbe Länge hat wie die LM-Antwort, wird es
unbeschädigt an den authentifizierenden Server weitergeleitet, sodass es verwendet werden
kann, um die Authentifizierung abzuschließen. Auch heute noch wird es übergeben, wenn
NTLMv2 benutzt wird. Der authentifizierende Server prüft beim Authentifizierungsprozess
aber immer erst einmal, ob es eine NTLMv2-Antwort gibt, die sich erfolgreich validieren
lässt. Falls es eine solche Antwort gibt, ist die Authentifizierung erfolgreich. Auch wenn es
die LMv2-Antwort noch gibt, wird sie daher nur selten für die Authentifizierung eingesetzt.