NTLM Authentication

Définition

NTLM (NT LAN Manager) est un protocole d'authentification challenge-response de Microsoft utilisé dans les réseaux Windows pour l'authentification des utilisateurs sans transmission du mot de passe en clair. Malgré son âge (remplacé par Kerberos dans les environnements AD modernes), NTLM reste omniprésent comme mécanisme de fallback et est à l'origine de nombreuses vulnérabilités d'authentification Windows exploitées par les attaquants. Le mécanisme NTLM v2 : 1) le client envoie sa demande d'authentification, 2) le serveur répond avec un 'challenge' (nombre aléatoire 8 bytes), 3) le client calcule une réponse en haschant le challenge avec le hash NT de son mot de passe (HMAC-MD5 du challenge + timestamp + un client challenge), 4) le serveur vérifie la réponse. L'échange complet (username, challenge, réponse NTLMv2) est capturé par des outils comme Responder et peut être soumis à un cracking offline (Hashcat -m 5600 pour NTLMv2). Les attaques sur NTLM comprennent : la capture de hashes NTLMv2 (via Responder, capturer les authentifications NTLM sur le réseau local), le relay NTLM (relayer les authentifications NTLM vers d'autres services sans casser le hash — ntlmrelayx), le Pass-the-Hash (utiliser le hash NT directement pour l'authentification sans connaître le mot de passe en clair — fonctionne avec les protocoles NTLM mais pas Kerberos), et le cracking offline des hashes capturés. NTLM est progressivement désactivé dans les nouvelles versions de Windows Server (Microsoft annonce la dépréciation de NTLMv1 en 2024) mais reste nécessaire dans de nombreux environnements legacy. L'objectif à terme est l'élimination complète de NTLM au profit de Kerberos et des protocoles modernes.