AS-REP roasting
El AS-REP roasting es un ataque contra Active Directory dirigido a las cuentas que tienen desactivada la preautenticación de Kerberos. El controlador de dominio devuelve una respuesta de autenticación a quien la pida, con material cifrado con la clave derivada de la contraseña de esa cuenta, y ese material se rompe después sin conexión.
La preautenticación existe precisamente para impedir esto. Lo normal es que el cliente tenga que demostrar que conoce la contraseña antes de que el centro de distribución de claves conteste, así que un atacante sin credenciales no obtiene nada. Cuando está puesto el atributo que la desactiva, esa demostración se salta y la respuesta llega con un bloque cifrado bajo una clave derivada de la contraseña. El crackeo ocurre en el equipo del propio atacante, contra un diccionario, sin volver a enviar nada a la red.
La condición que lo hace peligroso es lo que NO necesita: ninguna credencial, solo el nombre de la cuenta. Eso lo coloca antes en una intrusión que el kerberoasting, que sí requiere una cuenta de dominio válida de partida, y significa que basta con una lista de nombres de usuario sacada del directorio de la empresa o deducida de su convención de nombres.
El atributo casi nunca se pone a propósito. Se pone para que funcione una aplicación heredada, la integración de un dispositivo o un cliente Unix, y se queda puesto durante años. En un informe el hallazgo se escribe contra la cuenta y contra las pertenencias a grupos que hacen que su contraseña importe, la evidencia es el nombre de la cuenta y el estado del atributo leído del directorio, y la corrección es el cambio de un atributo y no un parche. Enumerar estas cuentas forma parte de la revisión de Kerberos dentro de las pruebas internas, donde es una de las primeras comprobaciones contra el directorio.