[HACK] Un link muy interesante...

[David A. Pérez]

> >La vulnerabilidad no existe como tal. El problema reside en la fragilidad
de
> >NTLM como protocolo de autentificacion.

>  Si a esto le sumamos que viene activado por defecto se convierte en
> una vulnerabilidad de los windows.

Hombre..., yo no diria tanto.

>  ¿Existe alguna manera de desactivar el uso automático de las
> credenciales de login al hacer cualquier conexión de red? (es decir,
> que SIEMPRE te pregunte el usuario y contraseña, y no de nada por
> supuesto).

No, ya sea en NTLM o con Kerberos las maquinas siempre intercambian el hash
o el ticket correspondiente. Lo que si puedes hacer es desactivar NTLM y
usar solo los tickets de Kerberos.

> "Credenciales en conflicto". El escenario es una máquina servidora
> ofreciendo acceso "público" al listado de los recursos y que aparte
> tiene otros recursos accesibles mediante un usuario y contraseña que
> no son los mismos que la credencial en uso de la máquina cliente. Al
> pinchar en "Red" desde un cliente NT y seleccionar el servidor
> nombrado se establece una conexión de red con éxito (al existir acceso
> "público" en ppio al recurso IPC) usando las credenciales "por
> defecto" del cliente. Si ahora pinchas uno de los recursos que
> requieren password te pedirá user/passwd (porque las por defecto no le
> valen) y al introducirlas te sale el msg de "credenciales en
> conflicto" porque el cliente NT detecta que se están usando 2
> credenciales diferentes hacia la misma máquina destino. Liosillo y en
> todo caso, molesto.

Las conexiones a IPC$ siempre se hacen a traves de "conexiones nulas", asi
que tus credenciales nunca son enviadas cuando pides un listado de recursos.
Cuando accedes a una carpeta de red es cuando ya necesitas las credenciales.
El conflicto al que te refieres se puede dar cuando intentas conectar a la
misma maquina usando distintas credenciales de administrador, por ejemplo,
si conectas a un recursos usando la credencial de administrador local, y
despues intentas conectar a otro recurso usando la credencial de
administrador del dominio.

Creo que se a lo que te refieres cuando hablas de desactivar el uso
automatico de credenciales, (que no es lo mismo que comentaron GriYo, Carlos
y ValfAdIr, cuando describian metodos para hacer desaparecer de la pantalla
de logon el nombre del ultimo usuario que estuvo usando la maquina), pero no
conozco ningun sistema para hacerlo.

Lo mejor, es usar un usuario sin permisos, asi siempre tendras que
autentificarte antes de usar cualquier recurso compartido.

Salu2,

    kamborio
================
 David A. Pérez
 _                       _                   _
| | __  __ _  _ __ ___  | |__    ___   _ __ (_)  ___
| |/ / / _` || '_ ` _ \ | '_ \  / _ \ | '__|| | / _ \
|   < | (_| || | | | | || |_) || (_) || |   | || (_) |
|_|\_\ \__,_||_| |_| |_||_.__/  \___/ |_|   |_| \___/
      El perdón es la venganza de los buenos (anónimo)