SP2를 설치한 NT 4.0에서 보강된 암호기능 구현하기에서 보강된 암호 기능을 구현하는 것에대해 배웠다. 이 기법은 트로이 목마에의해 암호가 평문으로 노출되도록 악용될 수 있다.

처리:

웍스테이션: 기본 사용권한으로 로칼에서 로그온한 사용자나 %Systemroot%\System32을 포함한 공유에 쓰기권한을 갖는 사용자는 %Systemroot%\System32 폴더내에 fpnwclnt.dll를 트로이 목마 버전으로 바꿀 수 있다.

트로이 목마는 로칼의 보안 계정 관리자(Security Account Manager:SAM) 데이타베이스내의 모든 변화를 해석할 수 있을 것이다. 만약 웍스테이션이 도메인의 구성원이라면 도메인 암호의 변경은 이 암호 필터에의해 잡힌다.

서버: fpnwclnt.dll는 기본적으로 설치된다. 만약 주 도메인 제어기(Primary Domain Controller :PDC)의 fpnwclnt.dll가 트로이 목마로 대치된다면 트로이 목마는 도메인 암호의 변경사항을 평문으로 받게될 것이다. 기본 사용권한은 단지 관리자는 로칼에서만 로그온 할 수 있으며, 관리자만 %SystemRoot%\System32 폴더에 쓰기권한을 갖는다. BDC의 암호 필터는 사용되지 않는다.

둘다: 관리자는 암호를 알아내기위해 자기 자신의 DLL을

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\LSA\Notification Packages

에 둘수 있다.

수정:

1. 서비스 팩 3를 설치한다.
2. NTFS 파티션에 Windows NT를 설치한다.
3. Regedt32를 사용해서

   	HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\LSA
   	

   를 찾은 후 보안/사용권한으로 관리자와 시스템에만 쓰기 접근을 허용한다.
4. Notification Packages를 두번 클릭하고 단지 타당한 암호 필터 팩키지만 열거되도록 확실히 한다.
5. FPNW(네웨어용 파일, 프린트 서비스)와 DSMN(넷웨어용 디렉토리 서비스 관리자)를 사용하지 않는다면, Notification Packages로부터 fpnwclnt 항목을 제거한다.
6. FPNW나 DSMN을 사용한다면 %SystemRoot%\System32 폴더내의 fpnwclnt.dll이 Windows NT 4.0 서비스 팩 3에 포함된 파일인지 확실히 하고 NTFS 사용권한이 단지 관리자와 시스템에의한 접근만을 허용하는지 확실히 한다.

레지스트리에대한 접근을 관리자로 제한하기위해 준관리자 통제하기를 구현할 것을 고려한다.