En LINUX la contraseñas hasehadas se almacenan en /etc/shadow
Administración de usuarios: /etc/passwd /etc/group
En WINDOWS
Es muchos mas complicado y consta de muchos módulos, además existen diferentes procesos de autenticación como Kerberos, además la Autoridad de Seguridad Local (LSA) en un subsistmea protegido que autentica a los usuarios y los registra en el ordenador local
El subsistema de seguridad realiza un seguimiento de las políticas y cuentas de seguridad que residen en un sistema informático. En el caso de un Controlador de Dominio, estas políticas y cuentas se aplican al dominio donde se encuentra el Controlador de Dominio. Estas políticas y cuentas se almacenan en Active Directory. Además, el subsistema LSA proporciona servicios para comprobar el acceso a los objetos.
El inicio de sesión interactivo local se realiza mediante la interacción entre el proceso de inicio de sesión (WinLogon), el proceso de interfaz de usuario de inicio de sesión (LogonUI), los proveedores de credenciales, LSASS, uno o más paquetes de autenticación y SAM o Active Directory
Por ejemplo, para inicios de sesión interactivos y no unidos a un dominio, se utiliza el paquete de autenticación Msv1_0.dll
LSASS
Es una colección de muchos módulos y tiene acceso a todos los procesos de autenticación que se pueden encontrar en %SystemRoot%\System32\Lsass.exe
Este servicio es responsable de la política de seguridad del sistema local, la autenticación de los usuarios y el envío de registros de auditoría de seguridad a la Event log
- Paquetes de autenticación: Descripción
- Lsasrv.dll: El servicio LSA Server hace cumplir las políticas de seguridad y actúa como gerente de paquetes de seguridad para la LSA. La LSA contiene la función Negociadora, que selecciona el protocolo NTLM o Kerberos después de determinar qué protocolo debe tener éxito.
- Msv1_0.dll: Paquete de autenticación para los inicios de la máquina local que no requieren autenticación personalizada.
- Samsrv.dll: El Security Accounts Manager (SAM) almacena cuentas de seguridad locales, hace cumplir las políticas localmente almacenadas y apoya las API.
- Kerberos.dll: Paquete de seguridad cargado por la LSA para autenticación basada en Kerberos en una máquina.
- Netlogon.dll: Servicio de inicio de red.
- Ntdsa.dll: Esta biblioteca se utiliza para crear nuevos registros y carpetas en el registro de Windows.
SAM
Es un archivo de base de datos en sistemas operativos Windows que almacena las contraseñas de los usuarios. Se puede utilizar para autenticar a los usuarios locales y remotos. SAM utiliza medidas criptográficas para evitar que los usuarios no autenticados accedan al sistema
Las contraseñas de usuario se almacenan en formato hash en una estructura de registro como hash LM o hash NTLM. Este archivo se encuentra en %SystemRoot%/system32/config/SAM y está montado en HKLM/SAM. Se requieren permisos de nivel SYSTEM para verlo.
Credential Manager
El Administrador de credenciales es una función integrada en todos los sistemas operativos Windows que permite a los usuarios guardar las credenciales que utilizan para acceder a diversos recursos de red y sitios web. Las credenciales guardadas se almacenan en función de los perfiles de usuario en el Armario de credenciales de cada usuario
PS C:\Users\[Username]\AppData\Local\Microsoft\[Vault/Credentials]\
NTDS
Es muy común encontrarse con entornos de red en los que los sistemas Windows están unidos a un dominio Windows. Esto es habitual porque facilita a los administradores la gestión de todos los sistemas propiedad de sus respectivas organizaciones (gestión centralizada). En estos casos, los sistemas Windows enviarán todas las solicitudes de inicio de sesión a los Controladores de Dominio que pertenezcan al mismo bosque de Active Directory
