computerworld_nzمنذ 79 ي
"ابتكر قسم الأمان Mandiant التابع لشركة Google تكتيكًا غير معتاد لإقناع المؤسسات بالتوقف عن استخدام بروتوكول المصادقة NTLMv1 القديم وغير الآمن إلى حد كبير: نشر قاعدة بيانات بحث تجعل اختراق بيانات اعتماد NTLMv1 أمرًا سهلاً للغاية بالنسبة للمهاجمين. وأوضحت Mandiant أن الهدف من ذلك هو لفت الانتباه إلى حقيقة أنه على الرغم من عقود من الأدلة على أن NTLMv1 (NT LAN Manager الإصدار 1) غير آمن، إلا أن المؤسسات تواصل استخدامه. يمكن لأي شخص استخدام جدول البحث عن قوس قزح المحسوب مسبقًا Net-NTLMv1 الخاص بـ Mandiant، والذي يمكن تنزيله من بوابة مجموعة بيانات أبحاث Google Cloud، لربط استجابة خادم معينة لإعادة بناء تجزئة NT حقيقية. التجزئات، بالطبع، هي تمثيلات رياضية لكلمات المرور الحقيقية، ولكنها مفيدة بنفس القدر للمجرمين عند استغلالها باستخدام تقنيات مثل تمرير التجزئة. تكمن الفائدة في الوقت والمال الذي يتم توفيره: تقدر Mandiant أن جدول قوس قزح الخاص بها يسمح باستعادة مفتاح NTLMv1 في 12 ساعة باستخدام جهاز كمبيوتر يكلف 600 دولار، بدلاً من الاعتماد على خدمات الطرف الثالث أو الأجهزة باهظة الثمن لفرض المفاتيح بالقوة الغاشمة. لا شيء من هذا يجعل NTLMv1 أقل أمانًا أو أسهل للاستهداف مما هو عليه بالفعل. تأمل Mandiant في أن يكون إصدار الجدول بمثابة تذكير بوجود المشكلة، مما يدفع المؤسسات إلى إزالة NTLMv1 أخيرًا من شبكاتها. وقالت الشركة في إعلانها: "يترك هذا البروتوكول القديم المؤسسات عرضة لسرقة بيانات الاعتماد التافهة، ومع ذلك لا يزال منتشرًا بسبب الجمود وعدم وجود خطر فوري واضح". "من خلال إصدار هذه الجداول، تهدف Mandiant إلى خفض الحاجز أمام متخصصي الأمن لإظهار عدم أمان Net-NTLMv1." بروتوكول احتياطي طويل الأمد NTLMv1 هو بروتوكول تحدي واستجابة من التسعينيات يستخدم لمصادقة مستخدمي Windows NT على Active Directory (AD). استنادًا إلى تشفير معيار تشفير البيانات (DES) في الثمانينيات، تم تحديثه إلى NTLMv2 الأكثر أمانًا في عام 1996 قبل أن يتم استبداله بالكامل بـ Kerberos. لسوء الحظ، لا تختفي البروتوكولات القديمة مثل NTLMv1 ببساطة، ويتم الاحتفاظ بها كاحتياطي في حالة احتياجها من قبل التطبيقات القديمة. تبين أن هذا الاحتياطي استمر لعقود. ما هي الأدلة التي تمتلكها Mandiant على أن المؤسسات لا تزال تستخدم NTLMv1؟ الأول هو قصصي: "يواصل مستشارو Mandiant تحديد استخدامه في البيئات النشطة"، كما أشارت الشركة في إعلان الأسبوع الماضي. ثانيًا، يستهدفه المهاجمون عبر الإنترنت بانتظام. على سبيل المثال، استهدفت حملة عام 2024 من قبل المجموعة الخطيرة TA577 تجزئات NTLM عن طريق استخدام رسائل بريد إلكتروني مفخخة لإرسال طلبات مصادقة التحدي والاستجابة إلى موارد SMB داخلية مثل الطابعات القديمة. تضمن حادث أخير هجوم ترحيل المصادقة الذي يستهدف ثغرة أمنية معينة في NTLM، CVE-2025-54918، والذي جاء بعد أسابيع فقط من إعلان Microsoft أنها ستزيل أخيرًا دعم NTLMv1 من Windows Server 2025 و Windows 11. العقبة الرئيسية: معرفة أنه لا يزال موجودًا وفقًا لـ Rob Finn، نائب الرئيس الدولي في شركة Chainguard لأمن سلسلة التوريد، حتى المؤسسات المدركة للأمان يمكن أن تقع في فخ NTLMv1. "البروتوكولات القديمة مثل NTLMv1 مدفونة في أعماق البرامج الثابتة التابعة لجهات خارجية. قد يقوم فريق أمان بإلغاء NTLMv1 على مستوى نظام التشغيل، فقط ليقوم برنامج تشغيل طابعة قديم أو مستشعر صناعي بإعادة تقديمه عبر مكتبة قديمة غير مصححة عمرها عقود"، على حد قوله. "بالنسبة لمعظم الشركات، فإن العقبة الرئيسية ليست مجرد معرفة