Как устроена архитектура аутентификации Windows

🪟 Что такое Windows Authentication Architecture? Представьте компанию на 1000 компьютеров. Каждый день сотрудники: — входят в Windows под своими учётными записями — подключаются к общим папкам — работают с корпоративными серверами — используют доменные ресурсы Но как Windows понимает, кто именно пытается получить доступ? И почему одному пользователю доступ разрешён, а другому — нет? 📌 За это отвечают механизмы Windows Authentication Architecture. Это архитектура аутентификации Windows, которая проверяет личность пользователей и служб, создаёт сеансы входа и участвует в формировании контекста безопасности. ⚡️ Основные компоненты: — Winlogon — управляет процессом входа в Windows — LogonUI — отображает экран авторизации — LSASS — обеспечивает работу механизмов аутентификации — SAM — хранит локальные учётные записи и хеши паролей — Active Directory — централизованно управляет доменными учётными записями — Kerberos / NTLM — протоколы аутентификации 🔐 Как происходит вход в домен? Пользователь вводит логин и пароль. Windows передаёт данные механизму аутентификации. При использовании Kerberos клиент взаимодействует с контроллером домена. После успешной проверки Windows создаёт сеанс входа. Пользователь получает токен доступа (Access Token). 💡 Access Token содержит информацию о пользователе, его группах и привилегиях. Именно этот токен Windows использует при проверке прав доступа к локальным ресурсам. Почему это интересно пентестеру? Потому что ошибки конфигурации и недостаточная защита механизмов аутентификации могут привести к: — компрометации учётных данных — злоупотреблению NTLM-аутентификацией — краже или повторному использованию Kerberos-билетов — повышению привилегий — несанкционированному доступу к доменным ресурсам 🧠 Например: Если злоумышленник получил доступ к материалам аутентификации пользователя, в определённых условиях он может использовать их для доступа к другим ресурсам без знания исходного пароля. С этим связаны техники: — Pass-the-Hash — Pass-the-Ticket — Kerberoasting — NTLM Relay 📌 Поэтому понимание Windows Authentication Architecture — одна из основ пентеста Active Directory. Без знания того, как Windows проверяет пользователей, сложно понять, почему работают многие атаки на доменную инфраструктуру. #infra #ad #windows #authentication #kerberos #ntlm #pentest