LDAP 签名与通道绑定
目录服务的签名与通道绑定设置直接影响凭据保护。若服务端不要求签名与通道绑定，攻击者在能监听或中继认证流量的位置，就可以把客户端的认证尝试转发到其他服务，形成中继式攻击，最终以受害者身份访问目标系统，而无需破解口令。检查要同时看两侧：域控上的签名与通道绑定要求是否开启，以及应用侧是否仍以未加密方式连接目录服务。推进时必须先审计、后强制。
基本信息
| 核查对象 | 域控的签名要求与通道绑定策略，以及使用目录服务的应用 |
|---|---|
| 主要风险 | 认证流量可被中继，凭据保护不足导致身份冒用 |
| 推进方式 | 先开启审计模式收集依赖，再逐步切到强制 |
| 配套动作 | 梳理应用连接方式并推进加密或签名连接 |
典型使用场景
- 域内认证：域控同时承担目录服务与认证职责
- 网络设备登录：交换机与防火墙向目录服务查账号
- 老旧应用集成：只支持基础认证方式的应用仍在使用
- 第三方系统对接：外部平台以目录账号登录内部系统
- 渗透成果验证：权限提升过程中常依赖中继类手法
检查要点
检查要点
1. 在域控侧核对签名要求与通道绑定策略的当前设置
2. 收集仍以未加密方式连接目录服务的应用清单
3. 与应用方确认其支持的连接方式：加密连接或签名连接
4. 先在审计模式下观察一段时间，确认没有遗留依赖报错
5. 分阶段切换到强制模式，并保留回退方案策略模式说明
| 模式 | 作用 | 使用时机 |
|---|---|---|
| 未配置 | 不做任何要求 | 存在中继类攻击风险，需评估整改 |
| 审计模式 | 记录不符合要求的连接但不拦截 | 强制前的依赖收集阶段 |
| 强制模式 | 拒绝不满足签名与绑定的连接 | 完成依赖改造后启用 |
强制前必须完成依赖审计：不支持对应连接方式的老旧应用会直接认证失败，造成业务中断。