Microsoft ha introducido una nueva característica de seguridad en Windows 11 que permite a los administradores bloquear el protocolo NTLM a través del Protocolo de Compartición de Archivos (SMB), con el objetivo de prevenir ataques como Pass-The-Hash, retransmisión NTLM o descifrado de contraseñas.
Comportamiento heredado y mecanismos SPNEGO
Anteriormente, Windows permitía la negociación de protocolos de seguridad mediante el mecanismo SPNEGO (Simple and Protected Generic Security Service Application Program Interface Negotiation Mechanism), que incluía opciones como Kerberos y NTLM. En este contexto, NTLM se refería a todas las versiones del paquete de seguridad de LAN Manager: LM, NTLM y NTLMv2.
Riesgos asociados al uso de NTLM
Al conectarse a un recurso compartido SMB remoto, Windows intentaba negociar la autenticación mediante una respuesta de desafío NTLM. Esta respuesta incluía el hash de la contraseña del usuario que inició sesión y que intentaba acceder al recurso compartido. Este hash podía ser capturado por el servidor alojador del recurso compartido.
Estos hashes podían ser utilizados en ataques como Pass-The-Hash o NTLM Relay para iniciar una sesión con el nombre de usuario capturado, lo cual representaba un riesgo significativo para la seguridad de las redes.
Nueva característica de bloqueo de NTLM
La nueva característica permite a los administradores bloquear el envío de datos NTLM a través de SMB en conexiones salientes remotas. Esto impide que el hash de la contraseña del usuario se envíe al servidor remoto, previniendo así ataques basados en este tipo de vulnerabilidad.
Esta opción está disponible desde la versión Windows 11 Insider Preview Build 25951 y puede configurarse mediante la Política de grupo o PowerShell. Además, los administradores pueden desactivar por completo el uso de NTLM en conexiones SMB utilizando comandos como NET USE y PowerShell.
Administración de dialectos SMB
Otra novedad incluye la administración de dialectos SMB, que permite a los administradores bloquear la conexión con dispositivos Windows más antiguos e inseguros al desactivar protocolos SMB obsoletos dentro de su organización.
Requisito de firma SMB para prevenir ataques
Desde el lanzamiento de Windows 11 Insider Preview Build 25381 en el canal Canary, Microsoft comenzó a requerir la firma SMB (también conocida como firmas de seguridad) por defecto en todas las conexiones. Esta medida busca prevenir ataques de retransmisión NTLM.
La firma SMB es un mecanismo de seguridad que verifica la identidad del remitente y del destinatario mediante el uso de firmas integradas y hashes adjuntos a cada mensaje, lo cual ayuda a frustrar solicitudes de autenticación maliciosas.
Historia de mejoras en la seguridad de SMB
Esta actualización forma parte de una iniciativa más amplia para mejorar la seguridad de Windows y Windows Server. En abril de 2022, Microsoft anunció la desactivación por defecto del protocolo SMB1 en Windows 11 Home Insiders.
Además, se introdujeron medidas de defensa mejoradas contra ataques de fuerza bruta, incluyendo un limitador de tasa de autenticación SMB diseñado para mitigar el impacto de los intentos fallidos de autenticación NTLM entrante.