Структура файла учетных записей sam.

В отличии от своего предшественника – файла парольных кешей PWL для ОС Windows 9x, файл SAM имеет более сложную структуру и более совершенную систему защиты. Для каждого пользователя формируется учетная запись следующей структуры:

"ИмяПользователя:RID:LM-хэш:NT-хэш:ПолноеИмя,Описание:ОсновнойКаталогПользователя:"

где:

• RID - (relative identifier.) - относительный идентификатор, назначаемый для каждого пользователя. Идентификаторы учетных записей Administrator (администратор) и Guest (гость) присваиваются самой ОС и равны соответственно 500 и 501. Другие пользователи в процессе их регистрации и создания учетных записей получают RID от 1000 и выше;

• LM-хеш - (Lan Manager) 16-байтный хеш 14-символьного пароля, совместимого с Windows 9x;

• NT-хеш - 16-байтный хеш 128-символьного пароля, используемого только в ОС Windows 2k;

• содержимое остальных полей – данные о пользователе и его рабочий каталог.

Поскольку интерес для взломщика представляет, естественно, пароль, то остановимся поподробнее на системе его защиты. Во-первых, обратим внимание на то, что в учетной записи содержатся целых два парольных хеша. Объясняется это тем, что согласно концепции локальных сетей фирмы Microsoft, учетная запись пользователя дает ему возможность удаленного доступа к принадлежащим ему ресурсам данного компьютера через локальную сеть. А поскольку в качестве такого удаленного компьютера может использоваться и такой, где установлена ОС Windows 9x, то при формировании парольного хеша в учетной записи накладываются ограничения на длину пароля и способ хеширования. В дальнейшем будет показано, что именно наличие LM-хеша повышает шансы взломщика получить пароль какого-либо зарегистрированного пользователя, поэтому формирование LM-хеша желательно отключить.

NT-хеш является более защищенным и формируется для 128-символьного пароля с учетом регистра нажатых клавиш. Он является основным в ОС Windows 2k.

Оба хеша образуют, так называемый, V-блок.

Алгоритм формирования lm-хеша

1. Введенный пароль переводится в верхний регистр.

2. Каждая их 7-символьных половин пароля шифруется независимо от другой по алгоритму DES (бывший федеральный стандарт США).

3. Полученный хеш снова шифруется по алгоритму DES, где в качестве ключа используется RID пользователя. Это необходимо, чтобы исключить получение одинаковых хешей, если разные пользователи используют один и тот же пароль.

Алгоритм формирования nt-хеша

1. Введенный пароль перекодируется в UNICODE.

2. На основе полученной строки строится хеш-функция по алгоритму MD4.

3. Выполняются действия, аналогичные пункту 3 для LM-хеша.

Защита файла sam

Для хранения файла учетных записей SAM используется системная папка %WindowsRoot%\system32\config\, для которой по умолчанию установлены специальное разрешение “List” для группы “Everyone” и разрешение “Full Control” для группы “Administrators”. Это дает возможность рядовым пользователям просматривать содержимое указанной папки, но блокирует их попытку скопировать файл SAM на другой компьютер для последующего взлома. Операционная система блокирует попытки просмотреть содержимое этого файла даже пользователями с правами администратора.

В этой папке также находятся файл SAM.log с журналом транзакций файла SAM и файл SYSTEM, который, как будет указано ниже, имеет важное значение в обеспечении безопасности Windows 2x.

Копии файлов SAM и SYSTEM, созданные с целью восстановления ОС после сбоев с помощью диска ERD (Emergency Repair Disk), находятся в папке %WindowsRoot%\repair и не защищены от копирования и просмотра.

Файлу SAM также соответствует ветвь системного реестра WINDOWS 2k:

HKEY_LOCAL_MACHINE\SAM\SAM

Для повышения безопасности в ОС Windows 2k в версиях NT (от SP3), 2000, XP используется дополнительное шифрование парольных хешей с помощью утилиты SYSKEY. Она позволяет включить режим дополнительного шифрования учетных записей пользователя в файле SAM. При этом уникальный 128-битовый уникальный ключ для шифрования PEK (Password Encryption Key) автоматически сохраняется для дальнейшего использования в системном реестре. Перед записью в реестр этот ключ PEK, в свою очередь шифруется системным ключом (System Key), который по усмотрению администратора может быть сохранен либо в реестре, либо в виде файла STARTUP.KEY в корневом каталоге «винчестера» или на дискете. Наконец, System Key вообще может вычисляться с помощью алгоритма MD5 при каждом запуске системы на основе пароля, набираемого на клавиатуре в диалоговом окне утилиты SYSKEY. Последние два способа хранения системного ключа обеспечивают максимальную защиту паролей в учетных записях SAM.

Текущую настройку режима SYSKEY соответствует состоянию ключа SecureBoot в разделе реестра HKEY_LOKAL_MACHINE\System\CurrentControlSet\Control\LSAЖ

1 – ключ System Key хранится в реестре;

2 – ключ вводится пользователем при каждом запуске системы;

3 – ключ записывается на дискету.

В операционной системе Windows NT (с SP3) для активизации дополнительной защиты с помощью SYSKEY необходимо выполнить определенную последовательность действий с обязательным предварительным созданием диска ERD. В операционных системах Windows 2000/XP программа SYSKEY изначально присутствует, активизирована, и шифрование не может быть отменено. В этом можно легко убедиться, загрузив программу syskey.exe из папки %WindowsRoot%\system32.