Contraseñas en Windows en entorno local

[pic 1]Trabajo

Contraseñas en Windows en entorno local

Índice

• Introducción

• Primera parte: Funcionamiento del sistema de contraseñas en Windows

• El cifrado LM

• El cifrado NTLM

• El archivo SAM (Security Account Manager)

• El proceso/servicio LSASS

• El doble sistema de autenticación de Windows: SysKey

• Segunda parte: Vulnerabilidades del sistema de contraseñas de Windows

• Vulnerabilidades de los algoritmos LM y NTLM

• Volcado de hashes
• Vulnerabilidades de SysKey

• Tercera parte: Herramientas de ataque al sistema de contraseñas de Windows

• Herramientas de craqueo de algoritmos LM/NTLM

• Rainbow Tables

• John The Ripper

• Ophcrack

• Cain & Abel

• Herramientas para el volcado de hashes

• PwDump

• GSecDump

• SamDump

• Herramientas para el craqueo de la clave SysKey

• Bkhive

• Otras herramientas

• Reseteo/borrado de contraseñas: ChNtPw

• Cuarta parte: Ejemplos prácticos sobre Windows 7 Professional x64

• Conclusiones

• Bibliografía

Introducción

En este trabajo intentaremos esclarecer como funciona el sistema de contraseñas de Windows en un entorno de trabajo local. Para ello antes de comenzar, necesitaremos definir varios conceptos, que nos ayuden a comprender que es lo que intentamos explicar en el mismo. Será necesario aclarar conceptos como contraseña, sistema Windows, entorno local o entorno de red, etc.

Contraseña

Según la Wikipedia “una contraseña o clave es una forma de autentificación que utiliza información secreta para controlar el acceso hacia algún recurso. La contraseña debe mantenerse en secreto ante aquellos a quien no se les permite el acceso. A aquellos que desean acceder a la información se les solicita una clave; si conocen o no conocen la contraseña, se concede o se niega el acceso a la información según sea el caso”.  En nuestro caso de estudio, una contraseña será una clave alfanumérica que, junto a un nombre de usuario, nos permitirá acceder a un sistema Windows al que tenemos acceso legitimo, y en el que, por extensión, disponemos de una cuenta de usuario previamente creada.

Sistema Windows

Windows es el nombre de una familia de sistemas operativos para PC, smartphone, servidores y sistemas empotrados, desarrollados y vendidos por Microsoft, y disponibles para múltiples arquitecturas, tales como x86 y ARM. Aunque Windows engloba todas estas distribuciones para múltiples arquitecturas, tradicionalmente cuando hablamos de Windows nos referimos al software de Microsoft para PC. En el ámbito de este trabajo cuando hablemos de Windows, nos estaremos refiriendo a los sistemas operativos para PC lanzados por Microsoft desde Windows 95, introducido en el año 1995, hasta Windows 7, lanzado en 2009, ambos incluidos. Sin embargo podemos tomar como modelo o punto de referencia, una de las versiones de Windows más vendidas de la historia, conocida como Windows XP, presentada en el año 2001, y cuyo soporte finalizó en el año 2014, pero que aún está presente en múltiples equipos hoy en día, dada su gran aceptación.  Existen versiones más recientes de Windows para PC, como Windows 8 y Windows 8.1, pero escapan del estudio de este documento.

Entorno local

Un sistema Windows puede operar en dos entornos: bien operar como un ente autónomo, sin conexión con otro tipo de maquinas o sistemas similares, o bien estar conectado a una red de sistemas similares.

Los dominios, los grupos de trabajo y los grupos en el hogar representan diferentes formas de organizar equipos en las redes. La diferencia principal entre ellos es la forma de administrar los equipos y otros recursos de las redes. Los equipos que ejecutan Windows en una red deben ser parte de un grupo de trabajo o de un dominio. Los equipos que ejecutan Windows en redes domésticas también pueden ser parte de un grupo en el hogar, pero no es un requisito. Generalmente, los equipos de redes domésticas forman parte de un grupo de trabajo y, probablemente, de un grupo en el hogar, y los equipos de redes del lugar de trabajo forman parte de un dominio. Los sistemas organizados en redes tienen varias maneras de autenticar a los usuarios en los mismos, y dicho sistema de autenticación puede no estar alojado en el equipo desde el que el usuario intenta conectarse. Los sistemas Windows que no están conectados y organizados en redes, funcionan como sistemas locales e independientes, por lo que todo el sistema concerniente a la autenticación en los mismos residirá en el propio sistema. Estos sistemas de entorno local son los que trataremos en este trabajo.

Acarado el dominio del trabajo, podemos expresar ahora si, una idea sobre lo que estudiaremos en el mismo: Primero presentaremos los mecanismos que utilizan los sistemas Windows en entorno local para almacenar las contraseñas de sus usuarios, como son codificadas y cual es el mecanismo de autentificación para conceder o denegar el acceso a un usuario a dicho sistema. Posteriormente presentaremos las vulnerabilidades conocidas de estos mecanismos, y algunas herramientas que nos permiten hackearlos. Por ultimo, con estas herramientas, haremos algunas pruebas practicas en sistema Windows real.

Con todo esto el objetivo es conocer de primera mano el funcionamiento del sistema de contraseñas en Windows si sus debilidades y deficiencias, para así poder tomas medidas de seguridad que reduzcan el riesgo a sufrir un ataque en nuestro sistema.

Primera parte: Funcionamiento del sistema de contraseñas de Windows

Cuando nos presentamos en una máquina Windows, la contraseña que proporcionamos debe estar almacenada en algún lugar para que el sistema operativo la reconozca y bien nos deje pasar, bien rechace el acceso. Almacenar la contraseña y compararla sin más con la que proporciona el usuario, sería una muy mala política de seguridad. Cualquiera con acceso al disco duro podría robar la contraseña en texto plano. Lo que se almacena en realidad es el resultado de aplicar un algoritmo a la clave introducida. Esto da como resultado una "firma" (o tradicionalmente llamado "hash"), un valor que en teoría sólo es producido por una contraseña en concreto. Son firmas lo que siempre se comparará entre sí, nunca contraseñas. En Windows, ese hash se encuentra físicamente en el archivo de nombre SAM (Security Account Manager) para contraseñas locales y en el archivo ntds.dit del controlador de dominio para los usuarios que se validan contra controladores de dominio. Como hemos comentado anteriormente, nos centraremos en las contraseñas locales.

...