مرر الهاش

في مجال أمن الحاسوب ، تُعدّ تقنية "تمرير التجزئة" أسلوبًا للاختراق يسمح للمهاجم بالوصول إلى خادم أو خدمة بعيدة باستخدام تجزئة NTLM أو LanMan لكلمة مرور المستخدم، بدلاً من طلب كلمة المرور الأصلية كما هو معتاد. فهي تستبدل الحاجة إلى سرقة كلمة المرور الأصلية للوصول إلى النظام بسرقة التجزئة.

يستغل الهجوم نقطة ضعف في تنفيذ بروتوكول المصادقة، حيث تظل تجزئات كلمات المرور ثابتة من جلسة إلى أخرى حتى يتم تغيير كلمة المرور في المرة القادمة.

يمكن تنفيذ هذه التقنية ضد أي خادم أو خدمة تقبل مصادقة LM أو NTLM، سواء كان يعمل على جهاز بنظام التشغيل Windows أو Unix أو أي نظام تشغيل آخر.

في الأنظمة أو الخدمات التي تستخدم مصادقة NTLM، لا تُرسل كلمات مرور المستخدمين كنص عادي عبر الشبكة. بدلاً من ذلك، تُقدم إلى النظام الطالب، مثل وحدة تحكم المجال ، كقيمة تجزئة في استجابة لآلية مصادقة التحدي والاستجابة . ^{[ 1 ]}

تطلب تطبيقات ويندوز الأصلية من المستخدمين إدخال كلمة المرور كنص واضح، ثم تستدعي واجهات برمجة التطبيقات مثل LsaLogonUser ^{[ 2 ]} التي تحول كلمة المرور إلى قيمة تجزئة واحدة أو اثنتين (تجزئة LM أو NT)، ثم ترسلها إلى الخادم البعيد أثناء مصادقة NTLM. ^{[ ملاحظات 1 ] [ 3 ]}

إذا حصل المهاجم على تجزئات كلمة مرور المستخدم، فلن يحتاج إلى كلمة المرور الأصلية؛ إذ يمكنه ببساطة استخدام التجزئة للمصادقة مع الخادم وانتحال شخصية ذلك المستخدم. ^{[ 4 ] [ 5 ] [ 6 ]} بعبارة أخرى، من وجهة نظر المهاجم، تُعدّ التجزئات مكافئة وظيفيًا لكلمات المرور الأصلية التي تم إنشاؤها منها.

نُشرت تقنية تمرير التجزئة لأول مرة بواسطة بول أشتون عام 1997 [ 6 ^{] ، وتتألف} من عميل Samba SMB مُعدّل يقبل تجزئات كلمات مرور المستخدمين بدلاً من كلمات المرور النصية الواضحة. كما تضمنت الإصدارات اللاحقة من Samba وتطبيقات أخرى تابعة لجهات خارجية لبروتوكولي SMB وNTLM هذه الوظيفة.

استند هذا التطبيق للتقنية إلى حزمة بروتوكول SMB أنشأتها جهة خارجية (مثل Samba وغيرها)، ولذلك عانى من سلسلة من القيود من وجهة نظر المخترق، بما في ذلك وظائف محدودة أو جزئية: استمر بروتوكول SMB في التطور على مر السنين، مما يعني أن الجهات الخارجية التي تُنشئ تطبيقاتها الخاصة لبروتوكول SMB تحتاج إلى إدخال تغييرات وإضافات على البروتوكول بعد إدخالها في الإصدارات الأحدث من Windows وSMB (تاريخيًا عن طريق الهندسة العكسية ، وهي عملية معقدة للغاية وتستغرق وقتًا طويلاً). هذا يعني أنه حتى بعد إجراء مصادقة NTLM بنجاح باستخدام تقنية تمرير التجزئة ، قد لا تكون أدوات مثل عميل SMB الخاص بـ Samba قد نفّذت الوظائف التي قد يرغب المهاجم في استخدامها. هذا يعني أنه كان من الصعب مهاجمة برامج Windows التي تستخدم DCOM أو RPC.

أيضًا، نظرًا لأن المهاجمين كانوا مقيدين باستخدام عملاء تابعين لجهات خارجية عند تنفيذ الهجمات، لم يكن من الممكن استخدام تطبيقات Windows المدمجة، مثل Net.exe أو أداة Active Directory Users and Computers من بين أمور أخرى، لأنها تطلب من المهاجم أو المستخدم إدخال كلمة المرور كنص واضح للمصادقة، وليس قيمة تجزئة كلمة المرور المقابلة.

في عام 2008، نشر هيرنان أوتشوا أداة تُسمى "Pass-the-Hash Toolkit" ^{[ 7 ]} ، والتي سمحت بتنفيذ عملية "تمرير التجزئة" بشكل أصلي على نظام ويندوز. سمحت هذه الأداة بتغيير اسم المستخدم واسم النطاق وتجزئات كلمة المرور المخزنة مؤقتًا في الذاكرة بواسطة سلطة الأمان المحلية أثناء التشغيل بعد مصادقة المستخدم  ، مما مكّن من "تمرير التجزئة" باستخدام تطبيقات ويندوز القياسية، وبالتالي تقويض آليات المصادقة الأساسية المدمجة في نظام التشغيل.

قدمت الأداة أيضًا تقنية جديدة تسمح باستخراج تجزئات كلمات المرور المخزنة مؤقتًا في ذاكرة عملية lsass.exe (وليس في وحدة تخزين دائمة على القرص)، والتي سرعان ما انتشرت على نطاق واسع بين مختبري الاختراق (والمهاجمين). تُعد تقنية استخراج التجزئة هذه أكثر تطورًا من التقنيات المستخدمة سابقًا (مثل استخراج قاعدة بيانات مدير حسابات الأمان المحلية (SAM) باستخدام pwdump وأدوات مشابهة)، ويرجع ذلك أساسًا إلى أن قيم التجزئة المخزنة في الذاكرة قد تتضمن بيانات اعتماد مستخدمي النطاق (ومسؤولي النطاق) الذين سجلوا الدخول إلى الجهاز. على سبيل المثال، يمكن أيضًا استخراج تجزئات مستخدمي النطاق المصادق عليهم غير المخزنة بشكل دائم في SAM المحلي. وهذا يُمكّن مختبر الاختراق (أو المهاجم) من اختراق نطاق Windows بأكمله بعد اختراق جهاز واحد كان عضوًا في ذلك النطاق. علاوة على ذلك، يمكن تنفيذ الهجوم بشكل فوري ودون الحاجة إلى أي موارد حاسوبية باهظة الثمن لتنفيذ هجوم القوة الغاشمة.

تم استبدال هذه المجموعة من الأدوات لاحقًا ببرنامج "محرر بيانات اعتماد ويندوز"، الذي يُوسّع وظائف الأداة الأصلية ويدعم أنظمة تشغيل أكثر. ^{[ 8 ] [ 9 ]} يصنف بعض مُوردي برامج مكافحة الفيروسات هذه المجموعة من الأدوات على أنها برامج ضارة. ^{[ 10 ] [ 11 ]}

قبل أن يتمكن المهاجم من تنفيذ هجوم تمرير التجزئة، يجب عليه الحصول على تجزئات كلمات المرور لحسابات المستخدمين المستهدفة. ولتحقيق هذه الغاية، يمكن لمختبري الاختراق والمهاجمين جمع تجزئات كلمات المرور باستخدام عدد من الطرق المختلفة:

• يمكن لأي شخص يتمتع بصلاحيات المسؤول قراءة بيانات اعتماد المستخدمين الذين سبق لهم تسجيل الدخول إلى الجهاز (على سبيل المثال، عبر وحدة التحكم أو بروتوكول سطح المكتب البعيد) من نظام إدارة الأصول (SAM). ويمكن للمسؤولين تعطيل السلوك الافتراضي لتخزين بيانات الاعتماد مؤقتًا للاستخدام دون اتصال بالإنترنت، لذا قد لا تنجح هذه التقنية دائمًا إذا كان الجهاز محصنًا بشكل كافٍ.
• تفريغ قاعدة بيانات حسابات المستخدمين المحليين ( SAM ). تحتوي هذه القاعدة فقط على حسابات المستخدمين الخاصة بالجهاز المخترق. على سبيل المثال، في بيئة نطاق، لن تحتوي قاعدة بيانات SAM الخاصة بجهاز ما على مستخدمي النطاق، بل فقط على المستخدمين المحليين لهذا الجهاز، والذين غالبًا ما يكونون غير مفيدين للمصادقة على خدمات أخرى في النطاق. مع ذلك، إذا تم استخدام كلمات مرور حسابات المسؤولين المحليين نفسها عبر أنظمة متعددة، فسيتمكن المهاجم من الوصول عن بُعد إلى تلك الأنظمة باستخدام تجزئات حسابات المستخدمين المحليين.
• استنشاق حوارات التحدي والاستجابة LM وNTLM بين العميل والخوادم، ثم استخدام القوة الغاشمة للتجزئات المشفرة التي تم التقاطها (نظرًا لأن التجزئات التي تم الحصول عليها بهذه الطريقة مشفرة، فمن الضروري تنفيذ هجوم القوة الغاشمة للحصول على التجزئات الفعلية).
• يتم استخراج بيانات اعتماد المستخدمين المصادق عليهم المخزنة في ذاكرة عملية lsass.exe بواسطة نظام ويندوز. قد تشمل بيانات الاعتماد المستخرجة بهذه الطريقة بيانات اعتماد مستخدمي النطاق أو المسؤولين، مثل أولئك الذين سجلوا الدخول عبر بروتوكول سطح المكتب البعيد (RDP) . وبالتالي، يمكن استخدام هذه التقنية للحصول على بيانات اعتماد حسابات المستخدمين غير الموجودة محليًا على الجهاز المخترق، بل تلك التي تنتمي إلى نطاق الأمان الذي ينتمي إليه الجهاز.

أي نظام يستخدم مصادقة LM أو NTLM مع أي بروتوكول اتصال (SMB، FTP، RPC، HTTP، إلخ) معرض لخطر هذا الهجوم. ^{[ 1 ]} يصعب الدفاع ضد هذا الاستغلال، نظرًا لوجود ثغرات أمنية محتملة في نظام التشغيل Windows والتطبيقات التي تعمل عليه، والتي يمكن للمهاجم استغلالها لرفع صلاحياته ، ومن ثم تنفيذ عملية استخراج التجزئة التي تسهل الهجوم. علاوة على ذلك، قد يكفي وجود جهاز واحد فقط في نطاق Windows غير مُهيأ بشكل صحيح أو يفتقر إلى تحديث أمني ليتمكن المهاجم من اختراق النظام. كما تتوفر مجموعة واسعة من أدوات اختبار الاختراق لأتمتة عملية اكتشاف نقاط الضعف في الأجهزة.

لا يوجد دفاع واحد ضد هذه التقنية، لذا تُطبّق ممارسات الدفاع المتعددة الطبقات القياسية ^{[ 12 ]} ، مثل استخدام جدران الحماية ، وأنظمة منع الاختراق ، ومصادقة 802.1x ، وIPsec ، وبرامج مكافحة الفيروسات ، وتقليل عدد المستخدمين ذوي الصلاحيات المرتفعة ^{[ 13 ]} ، والتحديثات الأمنية الاستباقية ^{[ 14 ]،} وغيرها. قد يحدّ منع نظام ويندوز من تخزين بيانات الاعتماد المخزنة مؤقتًا من قدرة المهاجمين على الحصول على تجزئات من الذاكرة، مما يعني عادةً ضرورة تسجيل دخول الحساب المستهدف إلى الجهاز عند تنفيذ الهجوم ^{[ 15 ]} . يؤدي السماح لمسؤولي النطاق بتسجيل الدخول إلى أنظمة قد تكون مخترقة أو غير موثوقة إلى خلق سيناريو تصبح فيه تجزئات المسؤولين أهدافًا للمهاجمين؛ لذا فإن تقييد تسجيل دخول مسؤولي النطاق إلى وحدات تحكم النطاق الموثوقة يحدّ من فرص المهاجم ^{[ 12 ]} . يشير مبدأ أقل الامتيازات إلى ضرورة اتباع نهج أقل وصول للمستخدم (LUA)، بحيث لا يستخدم المستخدمون حسابات ذات امتيازات أكثر من اللازم لإنجاز المهمة المطلوبة. ^{[ 12 ]}يمكن أن يُعزز ضبط الأنظمة لعدم استخدام بروتوكولي LM أو NTLM الأمان، ولكن الثغرات الأمنية الحديثة قادرة على إعادة توجيه تذاكر Kerberos بطريقة مماثلة. ^{[ 16 ]} قد يُحبط تقييد نطاق صلاحيات تصحيح الأخطاء على النظام بعض الهجمات التي تحقن التعليمات البرمجية أو تسرق تجزئات من ذاكرة العمليات الحساسة. ^{[ 12 ]}

وضع المسؤول المقيد هو ميزة جديدة في نظام التشغيل ويندوز تم تقديمها في عام 2014 عبر النشرة الأمنية رقم 2871997، وهي مصممة للحد من فعالية الهجوم. ^{[ 17 ]}

• مشروع ميتا سبلويت
• ميميكاتز
• هجوم الانعكاس
• SMBRelay

• إرشادات مايكروسوفت لتخفيف مخاطر التجزئة
• أمن أمبليا
• SMBShell
• باتريك جونجلز وآخرون: التخفيف من هجمات تمرير التجزئة (PtH) وغيرها من تقنيات سرقة بيانات الاعتماد ، شركة مايكروسوفت، 2012، تم الاطلاع عليه في 3 فبراير 2015
• ورقة بحثية غير مطلعة حول كسر الهاش
• تقليل فعالية بروتوكول تمرير التجزئة (وكالة الأمن القومي)
• CWE-836: استخدام تجزئة كلمة المرور بدلاً من كلمة المرور للمصادقة