Kerberos Encryption Types

Définition

Les Kerberos Encryption Types désignent les différents algorithmes cryptographiques disponibles pour chiffrer les tickets et les échanges du protocole Kerberos en environnement Active Directory, dont le choix impacte directement la robustesse de l'authentification face aux tentatives de cassage hors ligne. Historiquement, Windows supportait des algorithmes aujourd'hui considérés comme faibles, notamment DES (Data Encryption Standard), désactivé par défaut depuis Windows 7 et Windows Server 2008 R2 en raison de sa vulnérabilité structurelle, et RC4-HMAC, encore largement présent dans de nombreux environnements pour des raisons de compatibilité descendante malgré sa robustesse cryptographique inférieure aux standards actuels. Les algorithmes recommandés aujourd'hui sont AES128-CTS-HMAC-SHA1-96 et surtout AES256-CTS-HMAC-SHA1-96, offrant une résistance nettement supérieure au cassage par force brute des hachages capturés, notamment dans le cadre d'attaques comme le Kerberoasting où la robustesse de l'algorithme utilisé pour chiffrer le TGS conditionne directement la difficulté du cassage hors ligne du mot de passe du compte de service ciblé. La configuration du type de chiffrement autorisé pour un compte est définie par l'attribut msDS-SupportedEncryptionTypes, un compte ne spécifiant aucune préférence retombant par défaut sur les algorithmes les plus faibles disponibles selon la configuration du domaine. L'audit et la restriction de RC4 au profit exclusif d'AES constituent une recommandation de durcissement standard.