Hash NTLM

Un hash NTLM (ou NT hash) est une empreinte cryptographique de 128 bits (16 octets). NTLM (NT LAN Manager) est un vestige (toujours très présent) de l'écosystème Windows. Bien que Microsoft pousse désormais vers Kerberos, le hachage NTLM reste au cœur de nombreuses opérations de réseau et de sécurité.

Pour calculer un hash NTLM : encoder le mot de passe en UTF-16LE puis appliquer l'algorithme MD4 sur cette chaîne. Le résultat est un hash de 128 bits (32 caractères hexadécimaux).

Un hash ne se décode pas : une fonction de hachage comme MD4 est conçue pour être à sens unique : il n'existe pas d'algorithme permettant de retrouver directement le mot de passe à partir de son empreinte (hash).

Il est néanmoins possible d'avoir recours à une attaque par dictionnaire, qui consiste à tester un ensemble de mots de passe probables jusqu'à trouver celui qui produit le même hash.

Historiquement, le hash LM (LAN Manager) constituait la première norme ; cet ancien algorithme basé sur DES est aujourd'hui considéré comme obsolète et extrêmement vulnérable.

Par la suite, il a été supplanté par le hash NTLM, qui utilise MD4 et introduit la sensibilité à la casse. Bien qu'il représente une étape plus sécurisée que le format LM, il demeure vulnérable face aux attaques modernes par force brute ou par rejeu (Pass-the-Hash).

Désormais, le standard est Kerberos, un protocole moderne qui rompt avec les méthodes précédentes en utilisant des tickets chiffrés. Contrairement à ses prédécesseurs, il instaure une authentification mutuelle et un chiffrement fort, avec l'avantage critique de ne jamais transmettre de hash sur le réseau durant la transaction.

Les hash NTLM sont stockés :

— Sur un poste local : dans le fichier SAM (%SystemRoot%\System32\config\SAM), accessible uniquement avec des privilèges SYSTEM.

— Dans un domaine Active Directory : dans la base NTDS.dit sur les contrôleurs de domaine, ainsi que dans la mémoire du processus LSASS.exe