Sicherheit von net use

[Panther]

Hi,

beim net use kann oder muss man ja den User und das Passwort angeben wenn man ein Laufwerksmapping zu einem anderen Rechner aufbaut, und diese Daten nicht direkt eingeben kann da das ganz in einem Batch Programm laufen soll.

Nun meine Frage :

In der Batch Datei ist ja dann das Passwort und der User direkt ablesbar. Ist das in den Datenpaketen die beim ausführen des net use versendet werden auch so ?

Es geht dabei um die Frage wie ich diese Passworte vor unbefugtem Zugriff innerhalb eines LANs absichern kann.

Muss zumindest ein paar Gedanken dazu in meine Projektdoku einfliessen lassen.

Hoffentlich kann mir einer von euch helfen

greetz

Panther

[daking]

Beim Vebinden der Laufwerke, also aufbauen einer SMB Verbindung werden Passwörter nicht in Klartext übertragen.Sie werden verschlüsselt übertragen.

Es gibt jedoch Unterschiede bei der Verschlüsselung. Verwendest du WinNT also NTLMv1 ist es möglich Passworthashes abzufangen und zu entschlüsseln. Bei Win2k ist dies nicht Möglich da hier NTLMv2 verwendet wird. In der Defaulteinstellung ist jedoch festgelegt, dass NTLMv1 auch unterstützt wird, d.h. verbindest du dich von einer Win2k Maschine auf eine NT Maschine wird wieder NTLMv1 benutzt.

Du solltest die in den lokalen Sicherheitseinstellungen (falls du eine reine Win2k Domain benutzt) unterbinden.

ciao

[FunkyBeat]

Naja in Win9x/ME sind die Passwörter klartext, in allen NT-Sorten 'irgendwie' verschlüsselt, aber immer knackbar. (und ja, ntlm1 ist leichter zu knacken als lm2)

quellen dazu gibt's reichlich, aber nicht in diesem Forum...

[hades]

NTLMv1 wird als Standard in Win95/98/ME und in NT4 genutzt, ab Win2000 ist es NTLMv2.

NTLMv2 kann durch Installieren des Directory Service Clients (erhaeltlich auf Win2000 CDs) und Registryeintraegen auch auf NT4 (ab SP4) und auf Win95/98/ME eingesetzt werden (siehe dazu dieser Artikel der MS KB)

NTLMv2 Verbindungen und Passwoerter sind afaik mit 56 bzw. 128 bit mit dem DES-Algorithmus verschluesselt.

Nachtrag:

Bei Win2000/XP-Domaenen, die im native-Mode laufen, ist Kerberos das Authentifizierungsprotokoll.