Windows에서 Kerberos TGT 세션 키를 모두 0으로 만들 수있는 이유

최근에 몇 가지 문제에 대한 질문을했습니다. Microsoft의 LSA 자격 증명 캐시에서 MIT Kerberos를 제대로 작동시키는 데 문제가있었습니다.Windows에서 Kerberos TGT 세션 키를 모두 0으로 만들 수있는 이유

레지스트리 키 AllowTGTSessionKey을 설정하면 문제가 해결된다고 들었습니다.

그러나 아직 문제가 있으며 지금은 좀 더 깊게 파고 있습니다. klist tgt 다른 모든 출력 사이에, 그것은 보여줍니다 (\windows\system32 마이크로 소프트에서 제공하는 klist를 사용) 실행

이 :

Session Key  : KeyType 0x17 - RSADSI RC4-HMAC(NT) 
        : KeyLength 16 - 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00

그래서, 세션 키가 입니다 여전히은 심지어 불구하고,이 지워졌 위에서 언급 한 레지스트리 키가 해결해야 할 문제였습니다.

따라서 조건으로 인해 세션 키가 지워질 수 있습니까?

나는 이제 모든 종류의 사용자 계정 (도메인 관리자, 도메인 사용자, UAC 사용 여부에 관계없이)을 사용해 보았지만 아무런 차이가없는 것 같습니다.

그래서 문제가 무엇인지 아는 사람이 있습니까? 또는 해결책 (및/또는 못생긴 해킹 된 해결 방법)을 알고

출처

2012-01-17 jalf

이미 리소스 키트에서'kerbtray' 도구를 사용해 보셨습니까? 그들은 SSPI를 사용하고 메모리의 키에 액세스합니다. YMMV with GSS-API shim. –

@ Michael-O 그것은 Resource Kit, afaik에 의해 제공된'klist'와 똑같이 작동하며 그것은 모두 0을 보여줍니다. 핵심적인 비밀을 유지하는 것이 모든 것을 비밀로 유지하는 것입니다. SSPI를 통해 검색 할 수 있다면 MIT Kerberos 또는 다른 제 3자가 동일한 작업을 수행 할 수 있습니다. – jalf

좋아, 내가 (오히려 embarassingly 어리석은) 대답을 가지고있는 것처럼 보입니다.

문제의 레지스트리 키 (AllowTGTSessionKey)는 시작할 때 Windows에서만 읽습니다.

설정 한 후 다시 부팅해야합니다!

그리고 나서 유효한 세션 키를 얻습니다.

출처

2012-01-18 14:13:38 jalf

그래서 내 reg 해킹 팁이 결국 작동했습니다. 권리? –

네, 그 것처럼 보입니다. – jalf

Windows에서 Kerberos TGT 세션 키를 모두 0으로 만들 수있는 이유

답변

관련 문제