NTLM: come funziona il protocollo

Le reti informatiche sono vulnerabili agli attacchi se non sono protette adeguatamente. L’obiettivo è quindi di impedire l’accesso non autorizzato ai dati e ai servizi condivisi da parte di terzi. Per permettere agli utenti legittimi di connettersi tra loro, è quindi necessario creare accessi sicuri alla rete che altrimenti sarebbe chiusa. A tal fine sono necessarie alcune procedure di sicurezza. Con NT LAN Manager (NTLM) Microsoft ha svolto la funzione di pioniere nell’introduzione di una procedura di autenticazione, considerata però adesso obsoleta. Come funziona il protocollo?

NTLM è un insieme di protocolli di autenticazione sviluppato da Microsoft. Avviato inizialmente come protocollo proprietario, NTLM è ora disponibile anche per i sistemi che non utilizzano Windows. NT LAN Manager consente l’autenticazione reciproca di computer e server diversi. La maggior parte delle reti ha l’obiettivo di impedire l’accesso a partecipanti non autorizzati. Per questo motivo è necessario attuare una procedura di verifica: solo se il client dispone delle autorizzazioni necessarie, può accedere alla rete o utilizzare i suoi servizi.

Il protocollo prevede l’autenticazione di un client mediante un nome utente e una password associata. A tal fine, avviene uno scambio tra il dispositivo dell’utente e un server. Quest’ultimo conosce i dati di login e quindi può controllare l’accesso e autorizzarlo.

Durante la negoziazione tra client e host, le informazioni vengono trasmesse in parte sotto forma di flag NTLM, che consistono in un codice lungo 4 byte. I Negotiation Flags, che in parte si differenziano tra loro anche di un solo bit, forniscono informazioni sullo stato della procedura di login.

Il protocollo NTLM è progettato per connettere più computer Windows tra loro o a un server. Il metodo garantisce la sicurezza controllando l’autorizzazione di accesso dei client. Windows utilizza NTLM come metodo Single Sign-On (SSO). Questo significa che gli utenti devono accedere una sola volta per utilizzare diverse applicazioni all’interno del dominio.

NTML è ormai considerato obsoleto e Microsoft lo sta rimpiazzando con Kerberos che offre un protocollo di autenticazione più sicuro. NTLM viene comunque ancora utilizzato, ma principalmente per supportare i servizi più datati. Per gli amministratori di reti più grandi può essere utile disabilitare il protocollo NTLM se non è effettivamente necessario. In questo modo, si impedisce a un client di effettuare l’accesso accidentalmente creando una falla di sicurezza.

Un vantaggio di NTML è che per l’autenticazione non bisogna inviare sulla rete password non protette. La trasmissione dal client al server avviene unicamente sotto forma di valore hash. Questo garantisce certamente un maggiore livello di sicurezza. Il valore hash ha, tuttavia, lo svantaggio di essere l’equivalente di una password. Se la trasmissione viene intercettata, può venir meno la sicurezza promessa dal sistema. La password è crittografata tramite MD4, una procedura considerata ormai poco sicura. Tali valori hash possono essere decodificati abbastanza facilmente.

Un ulteriore svantaggio è che NTLM non supporta l’autenticazione multifattore (MFA, Multi Factor Authentication). Soprattutto quando si tratta di dati sensibili, si consiglia di mettere in atto diversi meccanismi di protezione, mentre il metodo challenge-response di NTLM consente un solo metodo di autenticazione e cioè quello tramite nome utente e password.