NTLM : NT LAN Manager
Sécurité
NTLM : NT (New Technology, la lignée Windows NT) LAN Manager. « Gestionnaire de réseau local de Windows NT », par analogie avec un portier qui pose une question piège et vérifie la réponse sans jamais demander le mot de passe à voix haute.
Défi-réponse : Le client annonce ses capacités, le serveur renvoie un défi aléatoire, le client répond avec une valeur calculée à partir de ce défi et de l'empreinte de son mot de passe. Le mot de passe lui-même ne circule pas.
Empreinte NT : L'empreinte utilisée est un MD4 du mot de passe, sans sel. Posséder cette empreinte suffit pour s'authentifier : c'est le principe du « pass-the-hash ».
Relais : Sans signature ni liaison au canal, une réponse NTLM peut être relayée par un attaquant placé au milieu vers un autre serveur, qui l'accepte comme légitime.
Succession : Kerberos l'a remplacé comme protocole préféré dans les domaines Active Directory ; NTLM survit pour la compatibilité, ce qui veut dire partout, un peu comme les imprimantes.
Ce qui arrive si on s'en passe
Sans les protections qui accompagnent NTLM (signature des échanges, liaison au canal chiffré, restriction de son usage), une réponse d'authentification interceptée peut être relayée vers un autre serveur et ouvrir une session au nom de la victime. Une empreinte de mot de passe dérobée sur un poste suffit aussi à se connecter ailleurs, sans casser quoi que ce soit. Laisser NTLM accepté partout, y compris sa première version, expose en plus à des réponses cassables hors ligne. Auditer où NTLM est réellement utilisé, privilégier Kerberos, imposer NTLMv2 et exiger la signature réduit nettement ces possibilités.
Explication de la marmotte
Pour prouver qu'on connaît son mot de passe sans le crier dans le couloir, on peut jouer à un petit jeu. Le serveur envoie un nombre tiré au hasard. L'ordinateur de l'utilisateur mélange ce nombre avec son mot de passe selon une recette connue et renvoie le résultat. Le serveur fait le même calcul de son côté et compare. Si c'est pareil, la personne connaît le bon mot de passe. C'est la méthode historique de Windows. Elle a un défaut : quelqu'un qui vole la version transformée du mot de passe peut rejouer le jeu sans jamais connaître le vrai.
Où ce terme est utilisé
- NTLM : protocole authentification LAN Manager New Technology Microsoft (21 occurrences)
- Attaque par relais NTLM et signature SMB obligatoire (14 occurrences)
- Kerberos et KDC dans Active Directory, attaques et durcissement (11 occurrences)
- Comment limiter le mouvement latéral après compromission (7 occurrences)
- Hashcat pour casser hors ligne des empreintes de mots de passe (7 occurrences)
- Authentification défi-réponse, rejeu, relais et attaque hors ligne (6 occurrences)
- Configurer Windows Hello for Business sans mot de passe (4 occurrences)
- Services applicatifs, partage et protocoles hérités (4 occurrences)
- Attaque de l'intercepteur par ARP, DHCP, DNS, Wi-Fi et proxy TLS (3 occurrences)
- RDP exposé sur Internet : risques, durcissement et détection (3 occurrences)