Hola, hoy continuaremos la nota que empezamos a ver el protocolo NTLM Entendiendo el protocolo NTLM: Auditor�a y restricci�n del uso [Parte1].

NTLM es un protocolo de autenticaci�n patentado por Microsoft que fue desarrollado para ser compatible con el sistema operativo Windows NT, principalmente para la autenticaci�n SMB. El proveedor de soporte de seguridad Negotiate (Spnego SSP) puede seleccionar NTLM como protocolo de autenticaci�n compatible seg�n diversas condiciones, y las aplicaciones y servicios pueden especificar expl�citamente el uso de NTLM (generalmente para reducir los problemas de compatibilidad de autenticaci�n). Sin embargo, Kerberos es el protocolo preferido durante el proceso de negociaci�n porque proporciona autenticaci�n mutua entre el cliente y el servidor.

Debido a que NTLM no proporciona autenticaci�n de servidor (o mutua), es un protocolo de autenticaci�n inferior. A partir de Windows Server 2008 R2 y Windows 7, el sistema operativo Windows incluye pol�ticas de grupo y pol�ticas de seguridad para ayudarlo a evaluar y reducir el uso de NTLM.

En este tema

• Posibles problemas con el uso de NTLM heredado y actual
• Escenarios de uso reducido de NTLM que comienzan con <token xmlns=”https://ddue.schemas.microsoft.com/authoring/2003/5″>nextref_server_7</token> y <token xmlns=”https://ddue.schemas. microsoft.com/authoring/2003/5″>nextref_client_7</token>

Posibles problemas con el uso de NTLM heredado y actual

La siguiente lista describe algunos problemas comunes en su entorno cuando tiene implementaciones mixtas de sistemas operativos Windows y aplicaciones que usan NTLM.

• La autenticaci�n NTLM se utiliza en sus aplicaciones.Es posible que algunas de las aplicaciones implementadas en su entorno tengan NTLM codificado como protocolo de autenticaci�n. Hay varias formas de comprender este uso, ya sea utilizando el complemento NTLM para la herramienta Application Verifier o utilizando las pol�ticas de seguridad de auditor�a para restringir NTLM.
• Dispositivos y aplicaciones compatibles con SAMBALa comunicaci�n y el intercambio de archivos entre Windows y UNIX o Linux se gestionan a trav�s de un conjunto de protocolos conocido como Common Internet File System o CIFS. CIFS implementa el protocolo Server Message Block (SMB) y Samba es una implementaci�n CIFS de c�digo abierto. Las aplicaciones se pueden cambiar para que utilicen otro protocolo de autenticaci�n como Kerberos, pero los dispositivos de hardware existentes a menudo no se pueden cambiar.
• Las aplicaciones no proporcionan un nombre de pszTarget v�lidoNegotiate SSP requiere un pszTargetName v�lido para poder utilizar Kerberos, si est� disponible, y para habilitar mejoras de seguridad en el protocolo NTLM. NTLM depende de la aplicaci�n cliente para reenviar la solicitud de autenticaci�n de manera adecuada, pero Kerberos requiere el SPN. El uso de un FQDN SPN permite un mejor acceso en escenarios de confianza entre bosques. Los UPN tambi�n se pueden utilizar para pszTargetName en la comunicaci�n de usuario a usuario. No pasar un nombre de destino impide la autenticaci�n mutua.
• Aplicaciones que pasan nombres NetBIOS en entornos entre bosquesNTLM depende de la aplicaci�n para encontrar el servidor de destino, por lo que la autenticaci�n de desaf�o-respuesta funciona. Sin embargo, debido a que el cliente no puede decodificar el nombre NetBIOS, Kerberos no puede usarlo para determinar el destino del servidor deseado. El Centro de distribuci�n de claves (KDC) solo proporciona informaci�n del cat�logo global en un dominio particular por bosque, no entre fideicomisos de bosques.
• Autenticaci�n de aplicaciones en entornos con confianzas externasPara entornos con confianzas externas, NTLM funciona porque depende de la aplicaci�n para encontrar el servidor de destino. La autenticaci�n mutua es dif�cil de lograr en esta topolog�a porque el cliente no puede determinar una relaci�n de confianza con el servidor.
• Acceso basado en una direcci�n IPCuando una aplicaci�n o un usuario accede a recursos a trav�s de una direcci�n IP, no se puede realizar la autenticaci�n mutua y, por lo tanto, se utiliza NTLM. El registro de direcciones IP generalmente no es pr�ctico en entornos que utilizan DHCP y, a partir de Windows Vista, el sistema operativo examina el formato del SPN solicitado y, si es solo una direcci�n IP, se utiliza expl�citamente NTLM.
• Registro de SPNEn versiones del sistema operativo Windows anteriores a Windows Server 2012 y Windows 8, NTLM no requiere registrar SPN, pero Kerberos s�. Esto significa que debe considerar el esfuerzo de registrar (o cambiar) los SPN de los servicios al reducir el uso de NTLM en su entorno.
• Soporte an�nimoNTLM admite la autenticaci�n an�nima, pero el protocolo Kerberos no.�Esto significa que debe considerar el esfuerzo de cambiar el esquema de autenticaci�n de la autenticaci�n an�nima al reducir el uso de NTLM en su entorno.
• DCOM y NetlogonEn casos especiales, Negotiate SSP permite que el servidor seleccione NTLM incluso cuando se obtuvo un ticket de Kerberos. Esto ocurre cuando un usuario remoto inici� sesi�n en la red sin especificar DELEGATE, lo que inici� los servidores DCOM para hacerse pasar por ese usuario remoto.
• Acceso remoto mediante NTLMNTLM funciona para el acceso corporativo remoto, mientras que el protocolo Kerberos no porque la computadora cliente fuera del firewall corporativo no puede obtener un ticket de Kerberos.

Escenarios de uso reducido de NTLM a partir de Windows Server 2008 R2 y Windows 7

Las pol�ticas de seguridad y de grupo introducidas en Windows Server 2008 R2 y Windows 7 pueden ayudarlo a evaluar el uso de NTLM en su entorno y, en algunos casos, ayudarlo a reducir la cantidad y la frecuencia de las solicitudes de autenticaci�n NTLM.�Pero las pol�ticas est�n dise�adas �nicamente para ayudarle a comprender y controlar el tr�fico.�Es posible que deba modificar aplicaciones, reemplazar dispositivos de red, instalar herramientas de auditor�a y sistemas de recopilaci�n de eventos, y actualizar los sistemas operativos, seg�n los objetivos de su proyecto.�Para comprender los elementos del proyecto que quiz�s deba abordar, consulte�Evaluaci�n de su entorno para la reducci�n de NTLM�.

Hay tres escenarios de bloqueo NTLM dentro de un dominio de destino:

1. Denegar NTLM de usuarios del dominio a servidores del dominio
2. Denegar NTLM de usuarios del dominio a servidores de otros dominios
3. Denegar NTLM a usuarios de otros dominios a servidores del dominio

La siguiente tabla muestra el uso de autenticaci�n para cada combinaci�n, ya sea compatible o no.