Résultats de recherche pour Kerberos

API REST pour Keepass en Powershell : Article MISC 108

Posté le de — Aucun commentaire ↓

Hello à tous, l’année 2020 a été généreuse en articles MISC pour moi, et comme pour mes précédentes publications chez eux, j’ai repris la licence de « type B », Du coup aujourd’hui, je vous partage l’article de mars dernier sur le thème du développement d’une API REST pour Keepass en Powershell.

J’en profite pour préciser que l’article en question fera office de la fameuse documentation Kerberos que je vous promet maintenant depuis plusieurs années… voilà c’est fait comme ça, ce n’est plus dans ma todo 🙂 !

Voilà c’est tout : bonne lecture à tous et @+

KeeRest : mettez du DevOps dans votre KeePass

MISC 108 | mars 2020 | Étienne LADENT & Arnaud PETITJEAN

Nous avions vu dans MISC n°103 comment déployer une base KeePass en mode SaaS ciblant les particuliers ou de petits périmètres professionnels. Dans un autre monde, les pratiques DevOps se démocratisent et demandent d’augmenter l’agilité des développements tout en réduisant les délais de mise en production. Cet article est le fruit d’une collaboration entre un DevOps et un ingénieur SSI pour voir de quelle manière il est possible de tirer profit de KeePass dans ces environnements.

La gestion des mots de passe en entreprise … Lire la suite

KeePass et PowerShell – à vos MISC ? prêt ? Partez !

Posté le de — Aucun commentaire ↓

Salut à tous ! Bon je sais, ça fait encore un mois que j’ai rien écrit sur le blog… Mais c’est pour la bonne cause : je viens d’être publié dans le N°108 de MISC ! Je vous propose un petit sujet sur KeePass et PowerShell page 68 (en kiosque depuis le 28 février 2020) ! Je vous tease le titre :

KeePass et PowerShell

KeeRest : mettez du DevOps dans votre KeePass

Comme vous l’aurez remarqué, c’est le second article sur KeePass que je publie. Je commence à avoir bien fait le tour du sujet maintenant entre le post sur KeePass2 et la synchronisation SSH/SFTP entre Windows, Linux et Android et le second article dans le n°103 de MISC et enfin celui-ci sur KeePass et PowerShell.

Une fois n’est pas coutume, mais cet article est le fruit d’une collaboration avec un copain MVP PowerShell : Arnaud Petitjean, un ancien collègue administrateur du site powershell-scripting.com. Le nom vous rappel un truc ? c’était avec lui que j’avais écrit ce post :

API REST en PowerShell – développez avec Polaris !

Cette collab explique aussi que le papier est un poil moins orienté sécu que d’habitude (et plus système), néanmoins j’ai profite … Lire la suite

Kerberoasting, Active Directory à la rôtissoire…

Posté le de — Aucun commentaire ↓

Salut a tous aujourd’hui on va voir une nouvelle technique pour récupérer puis casser des mots de passe dans une infrastructure Active Directory :  le Kerberoasting. Dans la langue de Molière ça donnerai « faire rôtir kerberos » et c’est franchement efficace si les administrateurs de l’AD n’appliquent pas des mots de passes complexes sur les comptes de services. Ça consiste en quoi ? simplement à demander et récupérer des TGS à un KDC pour ensuite casser la protection cryptographique de ces TGS et ainsi récupérer le mot de passe du service associé à ce TGS. On va voir tout ça plus en détail, après quelques rappels sur Kerberos. La technique est sortie en 2014, mais ce n’est que récemment qu’elle est devenue très (spoiler alert : trop) simple à utiliser.

Kerberos : 3 têtes, un os…

Bon alors Kerberos comment ça fonctionne ? Wikipédia explique ça très bien déjà, mais pour faire simple je vous refait un topo. Kerberos fonctionne à base de clés secrètes partagées. En simplifiant beaucoup, on a trois éléments que sont :

  • C le client ;
  • X un service kerberisé sur le serveur S ; et
  • K le serveur KDC de Kerberos.

Le serveur … Lire la suite

TP Active Directory – Changement de mot de passe, réseau et Windows 7

Posté le de — Aucun commentaire ↓

Pas vraiment un TP aujourd’hui mais plus une nouveauté que j’ai découverte en réinitialisant un mot de passe utilisateur dans un Active Directory.

Le problème

En fait en faisant un changement de mot de passe je me suis rendu compte que le PC freezait pendant quelques secondes avant de réussir.
Un coup de netstat plus tard, j’avais repéré un beau SYN_SENT vers un de nos DC avec le protocole kpasswd côté port réseau.

Que ça veut dire ?

Après une rapide recherche autour de kpasswd, je suis tombé sur l’explication.
Depuis Windows 7, Microsoft implémente kpasswd (protocole et programme Opensource-KRB/MIT) qui est utilisé pour gérer les mots de passes des « principaux » (=comptes, pour simplifier) dans Kerberos.
La plupart des gens pensaient que MS avait fait ça pour des histoires de compatibilité UNIX.

QUENiNi vous dis-je !

Seven essaie systématiquement de changer le mot de passe en kpasswd (et ce, que ce soit sur domaine et DC : en 2003 ou 2008R2 ou plus).
XP lui se comporte différemment, et utilise « SAMR » (il pourra faire du ‘Rap’ comme ça) qui passe sur le 445 en « RPC-Over-SMB » (et du coup la ça passe le filtrage firewall)… Lire la suite