セキュリティアカウントマネージャー

セキュリティ アカウント マネージャ( SAM )は、Windows NT、Windows 2000、Windows XP、Windows Vista、Windows 7、8.1、10、11 のデータベース ファイル^[1]で、ユーザーのパスワードを保存します。ローカル ユーザーとリモート ユーザーの認証に使用できます。Windows 2000 SP4 以降では、Active Directory がリモート ユーザーを認証します。SAM は暗号化手段を使用して、認証されていないユーザーがシステムにアクセスするのを防ぎます。

ユーザー パスワードは、 LM ハッシュまたはNTLM ハッシュとしてハッシュ形式でレジストリ ハイブに保存されます。このファイルは にあり、 にマウントされており、表示するには権限が必要です。 %SystemRoot%/system32/config/SAMHKLM/SAMSYSTEM

オフラインのソフトウェアクラッキングに対するSAMデータベースのセキュリティを強化するため、MicrosoftはWindows NT 4.0でSYSKEY機能を導入しました。SYSKEYが有効になっていると、SAMファイルのディスク上のコピーが部分的に暗号化され、SAMに保存されているすべてのローカルアカウントのパスワードハッシュ値がキー（通常は「SYSKEY」とも呼ばれます）で暗号化されます。syskeyプログラムを実行することで有効にできます。^[2] Windows 10バージョン1709では、 syskey安全でないセキュリティ^[3]と、悪意のある人物によるユーザーをシステムから締め出すための悪用の組み合わせにより削除されました。

2012年には、8文字のNTLMパスワードハッシュの組み合わせはどれも6時間以内に解読できることが実証されました。 ^[4] 2019年には、より最新のハードウェアを使用することで、この時間は約2.5時間に短縮されました。^{[5] [6]}

オンライン攻撃の場合、SAM ファイルを別の場所にコピーするだけでは不十分です。Windows カーネルは SAM ファイルに対して排他的なファイルシステム ロックを取得して保持し、オペレーティング システムがシャットダウンするか「ブルースクリーン オブ デス」例外がスローされるまでそのロックを解除しないため、Windows の実行中は SAM ファイルを移動またはコピーできません。ただし、SAM の内容のメモリ内コピーは、さまざまな手法 ( pwdumpを含む) を使用してダンプできるため、パスワード ハッシュをオフラインブルート フォース攻撃に使用できます。

LM ハッシュは、セキュリティが侵害されたプロトコルであり、NTLM ハッシュに置き換えられました。Windows のほとんどのバージョンは、ユーザーがパスワードを変更するときに有効な LM ハッシュの作成と保存を無効にするように構成できます。Windows Vista 以降のバージョンの Windows では、LM ハッシュは既定で無効になっています。注: この設定を有効にしても、SAM から LM ハッシュ値がすぐにクリアされるわけではありませんが、パスワード変更操作中に追加のチェックが有効になり、代わりに SAM データベース内の LM ハッシュが保存される場所に「ダミー」値が保存されます (このダミー値はユーザーのパスワードとは関係がなく、すべてのユーザー アカウントで使用される同じ値です)。

Windows NT 3.51、NT 4.0、および 2000 では、ローカル認証システムをバイパスする攻撃が考案されました。SAM ファイルがハード ドライブから削除されると (たとえば、Windows OS ボリュームを別のオペレーティング システムにマウントすると)、攻撃者はパスワードなしで任意のアカウントとしてログインできます。この欠陥は Windows XP で修正され、エラー メッセージが表示され、コンピューターがシャットダウンされます。ただし、前述の方法論によって、エミュ^レートされた仮想ドライブまたはブート ディスク (通常は Unix/Linux またはWindows プレインストール環境などの別の Windows コピー) ベースの環境を使用して、アクティブな NTFS パーティションを格納するローカル ドライブをマウントし、割り当てられたメモリ スタック内からプログラムされたソフトウェア ルーチンと関数呼び出しを使用して、SAM ファイルを Windows NT システムのインストール ディレクトリ構造 (既定: %SystemRoot%/system32/config/SAM) から分離し、使用している特定のソフトウェア ユーティリティに応じて、ユーザー アカウント用に保存されているパスワード ハッシュを完全に削除するか、場合によっては、この環境から直接ユーザー アカウント パスワードを変更するソフトウェア ユーティリティが存在します。

このソフトウェアは、Windows アカウントのパスワードを紛失または忘れてしまった個人のためのパスワード消去またはアカウント回復ユーティリティとして、非常に実用的で有益な用途があるだけでなく、悪意のあるソフトウェアのセキュリティ バイパス ユーティリティとしても使用できる可能性があります。基本的に、クラッキング ユーティリティ ソフトウェアと Windows NT カーネルのセキュリティ ルーチンの両方について十分な能力、経験、知識を持つユーザー (およびターゲット コンピューターへのオフラインおよび即時のローカル アクセス) に、潜在的なターゲット コンピューターから Windows アカウント パスワードを完全にバイパスまたは削除する機能を提供します。ごく最近、Microsoft は、Microsoft Diagnostics and Recovery Toolset (DaRT) の一部である LockSmith というユーティリティをリリースしました。^[8]ただし、DaRT はエンド ユーザーが自由に利用できるわけではありません。^[9]

2021年7月、Windows 10とWindows 11に脆弱性があり、権限の低いユーザーがSAMファイルを含む機密レジストリデータベースファイルにアクセスできることが明らかになりました。^[10]

• chntpw
• パスワードファイル