Kerberos

Funktion

Schritt	Nachricht	Inhalt	Verschlüsselung
Anmeldung	AS-REQ	Benutzername, (UPN)Realm (ruhr-uni-bochum), Uhrzeit	Hash des User Passworts
	AS-REP	TGT, Sitzungsschlüssel für KDC
Service Ticket	TGS-REQ	TGT, gewünschter Service	Sitzungsschlüssel für KDC
	TGS-REP	Service Ticket, Sitzungsschlüssel für Service
Zugriff auf Dienst	AP-REQ	Service Ticket	Sitzungsschlüssel für Service
	AP-REP	Bestätigung

Schwachstellen

Silver Ticket

Ein Silver Ticket ist ein gefälschtes Kerberos-Service-Ticket, das mit dem Hash eines bestimmten Dienstkontos erstellt wird. Damit kann ein Angreifer direkt auf einen bestimmten Dienst (z. B. Fileserver) zugreifen, ohne den Domain Controller kontaktieren zu müssen.

Golden Ticket

Ein Golden Ticket ist ein gefälschtes Kerberos-Ticket-Granting-Ticket (TGT), das mit dem Hash des KRBTGT-Kontos erstellt wird. Damit kann sich ein Angreifer beliebige Identitäten und Rechte in der gesamten Domäne geben – praktisch vollständige Kontrolle über das Active Directory.