| Author: | Anders Lefébure-Henriksen |
|---|
For å vurdere behovet for sikring av nettverk mellom trustede domener har vi undersøkt i hvilken grad protokollene som brukes til trusts og RDP kan sikres vha domeneinnstillinger.
Disse sikkerhetstiltakene er implementert i uhad.no. Det vil ikke medføre noen særlig sikkerhetsgevinst å også implementere dem hos deltakerinstitusjonene.
Innhold:
1 Protokoller
1.1 Kerberos
- 88 TCP
Kerberos-trafikk er per definisjon kryptert, tiltak er ikke nødvendig. Vi setter makslengde på Kerberos UDP-pakker til 0 på domenekontrollerne for å tvinge bruk av TCP.
1.2 RPC
- 135 TCP
- 50001 TCP
For å tvinge gjennom kryptering slår vi på "Require NTLMv2 session security" og "Require 128-bit encryption" for:
- Computer/Policies/Windows/Security/Local Policies/Security Options/
- Network Security: Minimum session security for NTLM SSP based (including secure RPC) clients
- Network Security: Minimum session security for NTLM SSP based (including secure RPC) servers
Resultat: Pålogging gikk uten problemer. Merk at settingen for NTLMv2 er redundant når NTLM er blokkert (se under).
1.3 LDAP
- 389 UDP
- 49152-65535 UDP (returtrafikk)
For å tvinge gjennom signering slår vi på:
- Computer/Policies/Windows/Security/Local Policies/Security Options/
- Domain Controller: LDAP server signing requirements: Require signing
- Network Security: LDAP client signing requirements: Require signing
Resultat: Pålogging gikk uten problemer.
Vi har testet virkningen av disse innstillingene ved å sette begge til "None" i klient-domenet samtidig som de er satt som over i uhadutv.no. Dette skal medføre at klient-domenekontrolleren i serverrollen ikke krever at innkommende forespørsler om ldap-oppslag skal signeres, men i klientrollen nekter å signere sine forespørsler. Resultatet her ble at RDP-pålogging via RDWeb feilet.
Ut fra dette trekker vi at LDAP-trafikk mot Windows-maskiner faktisk blir signert hvis "Require signing" er slått på i både domenekontroller- og klientinnstillinger, og at tilkoblinger vil bli avvist hvis klientdomenet er konfigurert til å ikke støtte signering.
1.5 SMB
- 445 TCP
For å tvinge gjennom signering slår vi på:
- Computer/Policies/Windows/Security/Local Policies/Security Options/
- Microsoft Network Client: Digitally sign communications (always)
- Microsoft Network Server: Digitally sign communications (always)
Resultat: Pålogging gikk uten problemer.
1.6 RDP
- 3389 TCP/UDP
Kryptering tvinges på på RDS-server som standard. Vi slår også på krav til NLA-autentisering på terminalserverne. Ingen tiltak nødvendig.
1.7 Utgående NTLM
NTLM har kjente angrepsvektorer og regnes som en mindre sikker autentiseringsmåte enn Kerberos. For å sikre at NTLM ikke blir brukt i stedet for Kerberos på den ukrykterte SMB-trafikken fra terminalserver til skole-domenekontroller slår vi på:
- Computer/Policies/Windows/Security/Local Policies/Security Options/
- Network Security: Restrict NTLM: Outgoing NTLM traffic to remote servers: Deny all
Resultat: Etter bytting fra external trust til forest trust benyttes Kerberos som forventet, og pålogging fungerer selv om NTLM er blokkert.
1.8 Innkommende NTLM
For å helt stoppe bruk av NTLM må man også slå av innkommende NTLM. Det gjøres med denne:
- Computer/Policies/Windows/Security/Local Policies/Security Options/
- Network Security: Restrict NTLM: Incoming NTLM traffic: Deny all accounts
Problemet med dette er at all RDP-trafikk som ikke er SSO da vil bli blokkert. Vi anser likevel ikke dette som et problem, siden alle innkommende NTLM-data vil være pakket inn i RDP-protokollens TLS-kryptering. Denne policyen vil altså IKKE bli brukt.
2 Konklusjon
Alle protokollene som vil brukes mellom AD-domenene til UHAD og FS-skolene klarer vi å enten kryptere eller signere. Etter vår mening gjør dette løsningen sikker nok til at det ikke er nødvendig å kryptere all kommunikasjon mellom domenekontrollerne i domenene.