Glossar
WDigest
Veraltetes Windows-Authentifizierungspaket, das bei Aktivierung Klartextkennwörter im LSASS-Speicher hält, wo Credential-Dumping-Werkzeuge sie auslesen können.
WDigest ist die Windows-Implementierung der HTTP-Digest-Authentifizierung und von SASL und wurde mit Windows XP eingeführt. Da das Digest-Protokoll zur Berechnung der Antworten das Kennwort des Benutzers benötigt, speicherte das Sicherheitspaket WDigest früher bei jeder interaktiven Anmeldung eine umkehrbar nutzbare Kopie des Kennworts im LSASS-Speicher. Seit dem Update KB2871997 von 2014 und in allen Versionen ab Windows 8.1 und Windows Server 2012 R2 ist dieses Zwischenspeichern standardmäßig deaktiviert und wird über den Wert UseLogonCredential unter HKLM\SYSTEM\CurrentControlSet\Control\SecurityProviders\WDigest gesteuert: 0 oder ein fehlender Wert bedeutet kein Klartext, 1 schaltet es wieder ein.
Angreifer mit lokalen Administratorrechten setzen UseLogonCredential häufig auf 1 und warten auf die nächste Anmeldung; der Wert ist daher zugleich Härtungseinstellung und Erkennungssignal. Setzen Sie ihn per Gruppenrichtlinie ausdrücklich auf 0 (ältere Microsoft-Sicherheitsbaselines enthielten die Einstellung „WDigest Authentication“; sie wurde als veraltet aus der Baseline für Windows 11 24H2 entfernt, daher eignet sich auch eine Gruppenrichtlinieneinstellung für die Registrierung), überwachen Sie den Registrierungsschlüssel mit Sysmon oder EDR auf Änderungen und nehmen Sie privilegierte Konten in Protected Users auf, was ebenfalls verhindert, dass WDigest Anmeldeinformationen zwischenspeichert.
Siehe Zwischengespeicherte Anmeldungen, WDigest und Einstellungen zur Preisgabe von Anmeldeinformationen und Credential Guard und LSA-Schutz.