AUTHENTICATE
Sécurité
AUTHENTICATE est le message envoyé par le client dans le protocole NTLM pour prouver qu’il connaît le mot de passe associé à un compte. Il contient une réponse calculée à partir du défi reçu du serveur, sans transmettre directement le mot de passe.
Rôle : Après les messages NEGOTIATE et CHALLENGE, le client calcule une réponse avec le défi aléatoire fourni par le serveur et les informations du compte. Le message AUTHENTICATE transporte cette réponse, ainsi que l’identité et le domaine déclarés.
Vérification : Le serveur refait le calcul de son côté à partir du même défi et du secret attendu. Si les deux résultats correspondent, l’authentification est acceptée. Le mot de passe, lui, ne traverse pas le réseau en clair.
Sécurité : La réponse dépend de la variante NTLM utilisée, notamment NTLMv2, et des options négociées. AUTHENTICATE ne protège pas contre tous les scénarios, en particulier le relais d’authentification, raison pour laquelle NTLM est souvent remplacé par Kerberos ou d’autres mécanismes.
Ce qui arrive si on s'en passe
Un serveur qui accepte le message AUTHENTICATE de NTLM sans protection complémentaire se fie à une réponse qui prouve la connaissance du mot de passe, mais pas l'identité de celui qui la transmet. Un attaquant placé entre le client et un autre serveur relaie alors l'échange tel quel et s'authentifie au nom de la victime sans jamais connaître le secret : c'est le relais d'authentification. Les variantes anciennes, encore négociables quand personne ne les interdit, affaiblissent en outre la réponse elle-même. Le mot de passe ne traverse pas le réseau en clair, ce qui console assez peu quand c'est l'accès entier qui le traverse.
Explication de la marmotte
Un ordinateur demande à un autre de prouver qu’il connaît un secret, sans lui demander de révéler ce secret. Le premier envoie une question différente à chaque tentative. Le second fabrique une réponse à partir de cette question et de son secret, puis la renvoie. Le premier refait le même calcul et compare les résultats. Si ça correspond, il laisse passer. Le message AUTHENTICATE est l’enveloppe qui transporte cette réponse, un peu comme montrer le résultat d’un calcul sans montrer la formule ni le mot caché.
Où ce terme est utilisé
- Attaque par relais NTLM et signature SMB obligatoire (2 occurrences)
- NTLM : protocole authentification LAN Manager New Technology Microsoft (2 occurrences)