Vlákno názorů k článku
Vydána duhová tabulka pro prolomení Net-NTLMv1 v krátkém čase od BobTheBuilder - Na Windows serverech to už docela dlouho by...

Na Windows serverech to už docela dlouho by default povoleno není a musí se to explicitně zapnout. Ve W10 snad taky, W7 si nejsem jistý.
NTLMv1 vyžadovaly WinXP a pak nejedna síťová multifunkce, která měla sambu s dost dlouho default nastavením, zakazujícím vyšší verzi protokolu.
Když jsem to (po smrti posledních XP v síti) na serverech zakázal, museli jsme ty starší multifunkce překlopit na ftp a zbyli někteří uživatelé Linuxu, kteří měli neaktualizované smb.conf, ale tam to spravily 2 řádky.

Ono to ma jeste jednu takovou konotaci, MS prohlasil cely NTML (vcetne v2) za deprecated, jenze jim bez toho tak 90% jejich vlastnich veci vubec neumi fungovat. A samozrejme zdaleka nejen ms.

Mimochodem, AD na 2k22 maji ntml v1 by default povoleno.

Povoleno znamená, že v tom LDAPu jsou doopravdy i ty staré LM hashe, tedy že ty hesla jsou efektivně zkrácena na 13 znaků max?

Jsem doteď vážně žil v tom, že u nových instalací někdy od 2003 je alespoň tohle zakázané a je tam jenom ta v2... která je teda taky příšerná, protože zase v LDAPu jsou MD4 nesolené hashe a NTLM to pak akorát s challengí prožene MD5kou, takže taky něco co patří spíše do devadesátek...

Ehm ... Get-ADReplAccount (pustis to as admin na DC) ... vrati ti to vsechny varianty hashu ktery tam jsou. Samo vcetne tech kratkych.

Tuhle je to vcetne samplu.

https://github.com/MichaelGrafnetter/DSInternals/blob/master/Documentation/PowerShell/Get-ADReplAccount.md

A neni to zdaleka jen o ntml, kerb ve widlich taky bydefault pouziva rc4, a zbavit se toho je pomerne silena operace s nejistym vysledkem a nutnosti primet uzivatele aby si opakovane menili hesla. (prej ... ale jen prej, to tak v 2k25 bydefault uz nebude, nevim, netestoval sem, to jeste neni ani k testovani pouzitelny ...)

Zkusil jsem to pustit na Win 2016 DCčku. LMHash mi to ukazuje u uživatelských účtů prázdný, NTHash je vyplněný. Což bych teda chápal tak, že tam ty hashe pro NTLMv1 nejsou, ne?

(Pominu teď, že v LMHashHistory nějaké záznamy mám... ale ty hashe jsou stejně dlouhé jako NTHash / NTHashHistory).