{"id":1321,"date":"2026-11-12T15:00:00","date_gmt":"2026-11-12T14:00:00","guid":{"rendered":"https:\/\/remivernier.com\/?p=1321"},"modified":"2026-11-12T15:00:00","modified_gmt":"2026-11-12T14:00:00","slug":"ntlm-relay-signature-smb-protection-etendue","status":"publish","type":"post","link":"https:\/\/remivernier.com\/index.php\/2026\/11\/12\/ntlm-relay-signature-smb-protection-etendue\/","title":{"rendered":"NTLM relay: signature SMB et protection \u00e9tendue expliqu\u00e9es"},"content":{"rendered":"

Reprenons l’\u00e9change NTLMSSP que nous avions d\u00e9cortiqu\u00e9 dans l’article sur la lecture d’un NTLMSSP dans Wireshark<\/a>, et posons-lui une seule question: qu’est-ce qui, dans cette suite de trois messages, emp\u00eache un tiers de la rejouer ailleurs? Nous allons suivre le message de n\u00e9gociation jusqu’au Type 3, rep\u00e9rer le drapeau exact qui d\u00e9cide du sort d’un relais, et voir o\u00f9 la signature SMB, le MIC et la protection \u00e9tendue viennent se placer dans la trame. Le but n’est pas de relayer quoi que ce soit mais de comprendre, au niveau du champ, pourquoi certaines sessions tiennent et d’autres non.<\/p>\n

Le relais NTLM, pour rappel, c’est l’attaquant qui se place au milieu. Il prend les messages NTLM que la victime lui envoie et les repousse tels quels vers une cible, en se faisant passer pour elle, sans jamais avoir besoin de son mot de passe. Toute la d\u00e9fense consiste \u00e0 lier ces messages \u00e0 quelque chose que l’attaquant ne peut pas reproduire, et c’est ce lien que nous allons chercher champ par champ.<\/p>\n

Le drapeau qui d\u00e9cide: NTLMSSP_NEGOTIATE_SIGN<\/h2>\n

Tout se joue tr\u00e8s t\u00f4t, dans le message de n\u00e9gociation (Type 1) et dans la r\u00e9ponse du serveur. Les deux parties s’y annoncent une liste de capacit\u00e9s sous forme de bits dans un champ NegotiateFlags<\/code>. Nous allons nous arr\u00eater sur un seul de ces bits.<\/p>\n

Dirk-jan Mollema l’a tr\u00e8s bien expliqu\u00e9<\/a>: la diff\u00e9rence entre l’authentification NTLM en SMB et en HTTP tient aux drapeaux n\u00e9goci\u00e9s par d\u00e9faut<\/q>, et le drapeau probl\u00e9matique est NTLMSSP_NEGOTIATE_SIGN<\/code> (0x00000010), document\u00e9 dans la section 2.2.2.5 de MS-NLMP<\/q>. SMB le positionne par d\u00e9faut, HTTP non. Quand ce bit est pr\u00e9sent et honor\u00e9, les deux parties d\u00e9rivent une cl\u00e9 de session et signent les messages qui suivent. L’attaquant qui relaie n’a jamais eu cette cl\u00e9, donc toute op\u00e9ration sign\u00e9e qu’il envoie est rejet\u00e9e et la session s’effondre d\u00e8s la premi\u00e8re.<\/p>\n

D’o\u00f9 la question \u00e9vidente, et c’est l\u00e0 que l’ancienne faiblesse appara\u00eet: ce champ de drapeaux n’est pas lui-m\u00eame prot\u00e9g\u00e9 dans les versions anciennes du protocole. Rien n’emp\u00eachait, historiquement, de retirer le bit de signature en transit. L’attaquant intercepte, efface NEGOTIATE_SIGN<\/code>, et la session relay\u00e9e se retrouve non sign\u00e9e alors que la victime croyait signer. Ce proc\u00e9d\u00e9 a un nom, \u00ab drop the MIC \u00bb, et nous allons voir comment les protections suivantes le ferment.<\/p>\n

Nous retrouvons ces valeurs dans [MS-NLMP] et dans n’importe quel d\u00e9codeur:<\/p>\n\n\n\n\n\n
Drapeau<\/th>\nValeur<\/th>\nR\u00f4le<\/th>\n<\/tr>\n
NTLMSSP_NEGOTIATE_SIGN<\/td>\n0x00000010<\/td>\nDemande la capacit\u00e9 de signature (cl\u00e9 de session d\u00e9riv\u00e9e)<\/td>\n<\/tr>\n
NTLMSSP_NEGOTIATE_SEAL<\/td>\n0x00000020<\/td>\nDemande le chiffrement<\/td>\n<\/tr>\n
NTLMSSP_NEGOTIATE_ALWAYS_SIGN<\/td>\n0x00008000<\/td>\nSignature \u00ab dummy \u00bb m\u00eame sans cl\u00e9 n\u00e9goci\u00e9e<\/td>\n<\/tr>\n<\/table>\n

Attention: ALWAYS_SIGN<\/code> n’est pas SIGN<\/code>. Le premier impose la pr\u00e9sence d’un bloc de signature sur tous les messages, le second d\u00e9clenche r\u00e9ellement la n\u00e9gociation de la cl\u00e9 qui sert \u00e0 signer. C’est le second qui g\u00eane un relais.<\/p>\n

MIC et channel binding: lier les trois messages, lier le canal<\/h2>\n

La parade \u00e0 \u00ab drop the MIC \u00bb se trouve dans le Type 3, enfoui dans la r\u00e9ponse NTLMv2 qui est elle-m\u00eame scell\u00e9e par le mot de passe de la victime. Deux structures y vivent, dans la liste d’AV_PAIR.<\/p>\n

Nous commen\u00e7ons par MsvAvFlags<\/code> (AvId 0x0006). Quand son bit 0x00000002<\/code> est positionn\u00e9, [MS-NLMP]<\/a> indique que le client fournit un MIC dans le message d’authentification. Le MIC est un HMAC-MD5 calcul\u00e9 sur la concat\u00e9nation des trois messages NTLM (N\u00e9gociation, Challenge, Authentification) avec la cl\u00e9 de session export\u00e9e. Comme la victime a annonc\u00e9, dans une partie sign\u00e9e par son mot de passe, qu’elle a bien joint un MIC, l’attaquant ne peut plus retirer ce MIC ni retoucher les drapeaux sans que la cible s’en aper\u00e7oive. Les trois messages sont soud\u00e9s ensemble.<\/p>\n

La seconde est MsvAvChannelBindings<\/code> (AvId 0x000A). Elle contient un hach\u00e9 MD5 de 16 octets de la structure de channel bindings; une valeur toute \u00e0 z\u00e9ro signale l’absence de binding. Pour un service TLS, cette structure transporte le hach\u00e9 du certificat d’extr\u00e9mit\u00e9 du serveur, au sens de la RFC 5929 (tls-server-end-point<\/code>). C’est le c\u0153ur de la protection \u00e9tendue pour l’authentification, l’EPA. Un serveur HTTPS qui exige l’EPA compare le hach\u00e9 pr\u00e9sent\u00e9 \u00e0 celui de son propre certificat et rejette l’authentification s’ils diff\u00e8rent. L’authentification NTLM est alors coll\u00e9e au canal TLS que le client voit. Si l’attaquant termine le TLS de son c\u00f4t\u00e9 puis relaie vers une autre cible, les certificats ne correspondent pas, et l’authentification tombe.<\/p>\n

\n\n\n<\/marker>\n<\/defs>\n\nClient (victime)<\/text>\n\nAttaquant<\/text>\n(relais)<\/text>\n\nCible<\/text>\n\nType 1 \/ Type 3<\/text>\n\nrejou\u00e9 tel quel<\/text>\nMsvAvFlags 0x2 -> MIC pr\u00e9sent : drapeaux et messages soud\u00e9s<\/text>\nMsvAvChannelBindings -> hach\u00e9 du certificat TLS vu par le client<\/text>\nSignature SMB -> chaque message sign\u00e9 avec la cl\u00e9 de session<\/text>\n-> La cible recalcule et compare. Si \u00e7a ne colle pas, elle rejette.<\/text>\n<\/svg>
Les trois verrous ne sont pas au m\u00eame endroit du protocole: MIC et channel binding sont dans le Type 3 sign\u00e9 par le mot de passe, la signature SMB est dans la couche de transport.<\/figcaption><\/figure>\n

Ce qu’on voit dans Wireshark, session sign\u00e9e contre non sign\u00e9e<\/h2>\n

Sur une maquette \u00e0 deux serveurs (domaine test.local, srv01 et srv02), la diff\u00e9rence se lit directement dans la n\u00e9gociation SMB2. Nous filtrons sur smb2<\/code> et nous ouvrons le Negotiate Protocol Response<\/code> du serveur. Le champ Security mode<\/code> porte deux bits:<\/p>\n

Security mode: 0x03\n    .... ...1 = Signing enabled: True\n    .... ..1. = Signing required: True<\/code><\/pre>\n
Quand Signing required<\/code> vaut True, le serveur refuse toute session non sign\u00e9e. La victime et la cible d\u00e9rivent une cl\u00e9 de session \u00e0 partir de la cl\u00e9 de session NTLM, et chaque message SMB2 suivant porte une signature dans son en-t\u00eate (champ Signature<\/code> de 16 octets, non nul). L’attaquant qui relaie n’a jamais eu la cl\u00e9: il ne peut pas produire cette signature, la cible rejette la premi\u00e8re requ\u00eate utile avec STATUS_ACCESS_DENIED<\/code>.<\/p>\n
Si nous refaisons la capture sur une session non sign\u00e9e, nous voyons le champ Signature<\/code> rester \u00e0 z\u00e9ro et le Security mode<\/code> ne montre que Signing enabled<\/code>. C’est l\u00e0, et seulement l\u00e0, qu’un relais SMB \u00ab classique \u00bb aboutit. Sur un contr\u00f4leur de domaine, la question ne se pose pas: la signature y est exig\u00e9e par d\u00e9faut, comme sur les clients Windows 11 24H2.<\/p>\n
Pour les m\u00eames raisons d\u00e9taill\u00e9es dans l’article NTLMSSP, pensez \u00e0 d\u00e9cocher la validation de signature dans Wireshark si vous voulez inspecter le contenu sans que l’analyseur ne marque les paquets en erreur.<\/p>\n
Comment un attaquant obtient l’authentification, et jusqu’o\u00f9 \u00e7a va<\/h2>\n
Un relais ne sert \u00e0 rien sans une authentification entrante. L’attaquant la provoque, et c’est tout le r\u00f4le des techniques de coercition que nous allons regarder maintenant. PetitPotam<\/a> abuse l’interface MS-EFSRPC (Encrypting File System Remote Protocol) pour forcer une machine \u00e0 s’authentifier vers un h\u00f4te choisi; Coercer<\/a>, de p0dalirius, regroupe plusieurs interfaces (MS-RPRN le \u00ab PrinterBug \u00bb, MS-EFSRPC, MS-DFSNM, MS-FSRVP, etc\u2026) dans un seul outil qui commence par \u00e9num\u00e9rer ce qui r\u00e9pond sur la cible avant de d\u00e9clencher. La m\u00e9canique est document\u00e9e, elle vise un pipe nomm\u00e9, et la machine cibl\u00e9e part s’authentifier l\u00e0 o\u00f9 l’UNC pointe.<\/p>\n
Une fois l’authentification coerc\u00e9e capt\u00e9e, le rayon d’impact d\u00e9pend de ce vers quoi on peut la pousser. Relay\u00e9e vers LDAP, elle permet d’\u00e9crire des attributs (d\u00e9l\u00e9gation, RBCD). Relay\u00e9e vers AD CS en HTTP (le sc\u00e9nario ESC8), elle obtient un certificat au nom du compte machine, et un certificat ne se r\u00e9voque pas d’un claquement de doigts. Relay\u00e9e vers SMB sur un serveur sans signature, elle ex\u00e9cute dans le contexte du compte relay\u00e9. L’attaquant repart avec une session d\u00e9j\u00e0 authentifi\u00e9e, qui ressemble trait pour trait \u00e0 une connexion l\u00e9gitime, et par certains c\u00f4t\u00e9s c’est pire qu’un mot de passe vol\u00e9.<\/p>\n
C’est ce qui rend la d\u00e9tection difficile. Un relais r\u00e9ussi n’a rien d’une anomalie \u00e9vidente: une session SMB s’ouvre, un compte machine se connecte quelque part, tout cela arrive tous les jours. Nous devons chercher le signal ailleurs. Un chercheur le r\u00e9sume bien<\/a>: voir le service EFS passer \u00e0 l’\u00e9tat \u00ab running \u00bb (event 7036 du gestionnaire de services) puis, dans la seconde, des connexions entrantes vers le pipe \\PIPE\\efsrpc<\/code> depuis une source inhabituelle, voil\u00e0 un signal combin\u00e9 solide. Du c\u00f4t\u00e9 partage, l’event 5145 journalise l’acc\u00e8s r\u00e9seau aux pipes lsarpc<\/code> ou efsrpc<\/code>. Et un d\u00e9calage entre le nom de poste annonc\u00e9 dans le Type 3 et l’adresse source r\u00e9elle de la connexion trahit souvent une authentification qui ne vient pas d’o\u00f9 elle pr\u00e9tend.<\/p>\n
Durcir, et une nuance r\u00e9cente qui remet la signature sur la table<\/h2>\n
Nous pouvons d\u00e9duire les parades de ce que nous avons vu dans la trame. Exiger la signature SMB c\u00f4t\u00e9 serveur (Signing required<\/code>, pas seulement enabled<\/code>) ferme le relais SMB non sign\u00e9. Exiger l’EPA sur les services TLS (AD CS en premier, les endpoints LDAPS, Exchange) lie l’authentification au canal. R\u00e9duire la surface de coercition en filtrant les interfaces RPC avec netsh rpc filter<\/code>, et en bloquant l’EFSRPC l\u00e0 o\u00f9 il n’a rien \u00e0 faire. Et plus en amont, retirer NTLM l\u00e0 o\u00f9 Kerberos suffit.<\/p>\n
Nous devons encore parler de la r\u00e9flexion. CVE-2025-33073<\/a>, la \u00ab Reflective Kerberos Relay Attack \u00bb d\u00e9couverte par RedTeam Pentesting, a montr\u00e9 qu’une machine pouvait \u00eatre coerc\u00e9e \u00e0 s’authentifier contre elle-m\u00eame et finir en NT AUTHORITY\\SYSTEM, sur tout h\u00f4te de domaine qui n’exige pas la signature SMB. Microsoft l’a corrig\u00e9e au Patch Tuesday du 10 juin 2025<\/a>. La le\u00e7on de fond restait: la signature SMB reste le mur.<\/p>\n
Et puis ce mur a pris une fissure. Oui, il semble qu’il y ait une technique en ce moment qui permette de faire du relais m\u00eame si le Signing est activ\u00e9. Je renvoie au write-up de Lyd\u00e9ric Lefebvre sur blackfield.ch<\/a> et \u00e0 son PoC reauthx<\/a>, un fork de krbrelayx avec un seul drapeau en plus, --reauth-bypass<\/code>. L’id\u00e9e tient en une phrase, et elle est g\u00eanante: quand une session SMB se r\u00e9-authentifie, le serveur r\u00e9utilise la premi\u00e8re cl\u00e9 de signature et ne v\u00e9rifie pas que le nouvel utilisateur correspond \u00e0 l’ancien<\/a>. La session relay\u00e9e peut alors \u00eatre sign\u00e9e avec une cl\u00e9 que l’attaquant contr\u00f4le, bien qu’il n’ait jamais connu la cl\u00e9 de l’identit\u00e9 relay\u00e9e. L’auteur le dit lui-m\u00eame sans emphase: contourner la signature ne compromet rien \u00e0 lui seul, la signature SMB reste n\u00e9cessaire, mais elle ne suffit plus contre ce d\u00e9tournement sur les h\u00f4tes qui n’imposent pas une identit\u00e9 coh\u00e9rente \u00e0 la r\u00e9-authentification. Je pense que c’est la nuance \u00e0 garder en t\u00eate, plus que le nom du PoC. Les contributions associ\u00e9es rattachent le comportement \u00e0 la r\u00e9-utilisation de cl\u00e9 de session \u00e0 travers une r\u00e9-authentification cross-user (MS-SMB2 3.3.5.5.2), avec un correctif c\u00f4t\u00e9 \u00e9diteur. \u00c0 l’heure o\u00f9 j’\u00e9cris ces lignes, le sujet est r\u00e9cent et bouge vite: v\u00e9rifiez l’\u00e9tat de patch de vos h\u00f4tes plut\u00f4t que de vous fier au seul \u00ab signing: True \u00bb d’un scan.<\/p>\n
De notre c\u00f4t\u00e9, la liste ne change pas: appliquez les mises \u00e0 jour, exigez la signature, exigez l’EPA, coupez les vecteurs de coercition. Le \u00ab signing enforced \u00bb n’est plus une case qui, coch\u00e9e, cl\u00f4t le dossier \u00e0 elle seule, mais le laisser d\u00e9coch\u00e9 revient toujours \u00e0 laisser la porte grande ouverte.<\/p>\n","protected":false},"excerpt":{"rendered":"
Pourquoi un \u00e9change NTLMSSP peut \u00eatre relay\u00e9, et ce qui l’arr\u00eate vraiment: signature SMB, MIC, channel binding et protection \u00e9tendue (EPA).<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[42,3,37],"tags":[169,172,170,115,100,171,168,167],"class_list":["post-1321","post","type-post","status-publish","format-standard","hentry","category-ntlm","category-protocoles","category-securite","tag-channel-binding","tag-cve-2025-33073","tag-epa","tag-mic","tag-ntlm","tag-petitpotam","tag-relay","tag-smb-signing"],"yoast_head":"\nNTLM relay: signature SMB et protection \u00e9tendue expliqu\u00e9es - R\u00e9mi VERNIER<\/title>\n<meta name=\"description\" content=\"Pourquoi un \u00e9change NTLMSSP peut \u00eatre relay\u00e9, et ce qui l'arr\u00eate vraiment: signature SMB, MIC, channel binding et protection \u00e9tendue (EPA).\" \/>\n<meta name=\"robots\" content=\"index, follow, max-snippet:-1, max-image-preview:large, max-video-preview:-1\" \/>\n<link rel=\"canonical\" href=\"https:\/\/remivernier.com\/index.php\/2026\/11\/12\/ntlm-relay-signature-smb-protection-etendue\/\" \/>\n<meta property=\"og:locale\" content=\"fr_FR\" \/>\n<meta property=\"og:type\" content=\"article\" \/>\n<meta property=\"og:title\" content=\"NTLM relay: signature SMB et protection \u00e9tendue expliqu\u00e9es - R\u00e9mi VERNIER\" \/>\n<meta property=\"og:description\" content=\"Pourquoi un \u00e9change NTLMSSP peut \u00eatre relay\u00e9, et ce qui l'arr\u00eate vraiment: signature SMB, MIC, channel binding et protection \u00e9tendue (EPA).\" \/>\n<meta property=\"og:url\" content=\"https:\/\/remivernier.com\/index.php\/2026\/11\/12\/ntlm-relay-signature-smb-protection-etendue\/\" \/>\n<meta property=\"og:site_name\" content=\"R\u00e9mi VERNIER\" \/>\n<meta property=\"article:published_time\" content=\"2026-11-12T14:00:00+00:00\" \/>\n<meta name=\"author\" content=\"R\u00e9mi\" \/>\n<meta name=\"twitter:card\" content=\"summary_large_image\" \/>\n<meta name=\"twitter:label1\" content=\"\u00c9crit par\" \/>\n\t<meta name=\"twitter:data1\" content=\"R\u00e9mi\" \/>\n\t<meta name=\"twitter:label2\" content=\"Dur\u00e9e de lecture estim\u00e9e\" \/>\n\t<meta name=\"twitter:data2\" content=\"10 minutes\" \/>\n<script type=\"application\/ld+json\" class=\"yoast-schema-graph\">{\"@context\":\"https:\\\/\\\/schema.org\",\"@graph\":[{\"@type\":\"Article\",\"@id\":\"https:\\\/\\\/remivernier.com\\\/index.php\\\/2026\\\/11\\\/12\\\/ntlm-relay-signature-smb-protection-etendue\\\/#article\",\"isPartOf\":{\"@id\":\"https:\\\/\\\/remivernier.com\\\/index.php\\\/2026\\\/11\\\/12\\\/ntlm-relay-signature-smb-protection-etendue\\\/\"},\"author\":{\"name\":\"R\u00e9mi\",\"@id\":\"https:\\\/\\\/remivernier.com\\\/#\\\/schema\\\/person\\\/a4c76c63a5a3d94454484845e42fc906\"},\"headline\":\"NTLM relay: signature SMB et protection \u00e9tendue expliqu\u00e9es\",\"datePublished\":\"2026-11-12T14:00:00+00:00\",\"mainEntityOfPage\":{\"@id\":\"https:\\\/\\\/remivernier.com\\\/index.php\\\/2026\\\/11\\\/12\\\/ntlm-relay-signature-smb-protection-etendue\\\/\"},\"wordCount\":1980,\"commentCount\":0,\"keywords\":[\"channel binding\",\"cve-2025-33073\",\"epa\",\"mic\",\"ntlm\",\"petitpotam\",\"relay\",\"smb signing\"],\"articleSection\":[\"NTLM\",\"Protocoles\",\"S\u00e9curit\u00e9\"],\"inLanguage\":\"fr-FR\",\"potentialAction\":[{\"@type\":\"CommentAction\",\"name\":\"Comment\",\"target\":[\"https:\\\/\\\/remivernier.com\\\/index.php\\\/2026\\\/11\\\/12\\\/ntlm-relay-signature-smb-protection-etendue\\\/#respond\"]}]},{\"@type\":\"WebPage\",\"@id\":\"https:\\\/\\\/remivernier.com\\\/index.php\\\/2026\\\/11\\\/12\\\/ntlm-relay-signature-smb-protection-etendue\\\/\",\"url\":\"https:\\\/\\\/remivernier.com\\\/index.php\\\/2026\\\/11\\\/12\\\/ntlm-relay-signature-smb-protection-etendue\\\/\",\"name\":\"NTLM relay: signature SMB et protection \u00e9tendue expliqu\u00e9es - R\u00e9mi VERNIER\",\"isPartOf\":{\"@id\":\"https:\\\/\\\/remivernier.com\\\/#website\"},\"datePublished\":\"2026-11-12T14:00:00+00:00\",\"author\":{\"@id\":\"https:\\\/\\\/remivernier.com\\\/#\\\/schema\\\/person\\\/a4c76c63a5a3d94454484845e42fc906\"},\"description\":\"Pourquoi un \u00e9change NTLMSSP peut \u00eatre relay\u00e9, et ce qui l'arr\u00eate vraiment: signature SMB, MIC, channel binding et protection \u00e9tendue (EPA).\",\"breadcrumb\":{\"@id\":\"https:\\\/\\\/remivernier.com\\\/index.php\\\/2026\\\/11\\\/12\\\/ntlm-relay-signature-smb-protection-etendue\\\/#breadcrumb\"},\"inLanguage\":\"fr-FR\",\"potentialAction\":[{\"@type\":\"ReadAction\",\"target\":[\"https:\\\/\\\/remivernier.com\\\/index.php\\\/2026\\\/11\\\/12\\\/ntlm-relay-signature-smb-protection-etendue\\\/\"]}]},{\"@type\":\"BreadcrumbList\",\"@id\":\"https:\\\/\\\/remivernier.com\\\/index.php\\\/2026\\\/11\\\/12\\\/ntlm-relay-signature-smb-protection-etendue\\\/#breadcrumb\",\"itemListElement\":[{\"@type\":\"ListItem\",\"position\":1,\"name\":\"Accueil\",\"item\":\"https:\\\/\\\/remivernier.com\\\/\"},{\"@type\":\"ListItem\",\"position\":2,\"name\":\"NTLM relay: signature SMB et protection \u00e9tendue expliqu\u00e9es\"}]},{\"@type\":\"WebSite\",\"@id\":\"https:\\\/\\\/remivernier.com\\\/#website\",\"url\":\"https:\\\/\\\/remivernier.com\\\/\",\"name\":\"R\u00e9mi VERNIER\",\"description\":\"Identit\u00e9, s\u00e9curit\u00e9, SAP et IA : Active Directory, Azure & co...\",\"potentialAction\":[{\"@type\":\"SearchAction\",\"target\":{\"@type\":\"EntryPoint\",\"urlTemplate\":\"https:\\\/\\\/remivernier.com\\\/?s={search_term_string}\"},\"query-input\":{\"@type\":\"PropertyValueSpecification\",\"valueRequired\":true,\"valueName\":\"search_term_string\"}}],\"inLanguage\":\"fr-FR\"},{\"@type\":\"Person\",\"@id\":\"https:\\\/\\\/remivernier.com\\\/#\\\/schema\\\/person\\\/a4c76c63a5a3d94454484845e42fc906\",\"name\":\"R\u00e9mi\",\"image\":{\"@type\":\"ImageObject\",\"inLanguage\":\"fr-FR\",\"@id\":\"https:\\\/\\\/secure.gravatar.com\\\/avatar\\\/f750448bc07f5d1d9c1189344283777ec0d33275c184599b199fb6b305bc6fba?s=96&d=mm&r=g\",\"url\":\"https:\\\/\\\/secure.gravatar.com\\\/avatar\\\/f750448bc07f5d1d9c1189344283777ec0d33275c184599b199fb6b305bc6fba?s=96&d=mm&r=g\",\"contentUrl\":\"https:\\\/\\\/secure.gravatar.com\\\/avatar\\\/f750448bc07f5d1d9c1189344283777ec0d33275c184599b199fb6b305bc6fba?s=96&d=mm&r=g\",\"caption\":\"R\u00e9mi\"},\"sameAs\":[\"http:\\\/\\\/www.linkedin.com\\\/in\\\/remi-vernier\"]}]}<\/script>\n<!-- \/ Yoast SEO plugin. -->","yoast_head_json":{"title":"NTLM relay: signature SMB et protection \u00e9tendue expliqu\u00e9es - R\u00e9mi VERNIER","description":"Pourquoi un \u00e9change NTLMSSP peut \u00eatre relay\u00e9, et ce qui l'arr\u00eate vraiment: signature SMB, MIC, channel binding et protection \u00e9tendue (EPA).","robots":{"index":"index","follow":"follow","max-snippet":"max-snippet:-1","max-image-preview":"max-image-preview:large","max-video-preview":"max-video-preview:-1"},"canonical":"https:\/\/remivernier.com\/index.php\/2026\/11\/12\/ntlm-relay-signature-smb-protection-etendue\/","og_locale":"fr_FR","og_type":"article","og_title":"NTLM relay: signature SMB et protection \u00e9tendue expliqu\u00e9es - R\u00e9mi VERNIER","og_description":"Pourquoi un \u00e9change NTLMSSP peut \u00eatre relay\u00e9, et ce qui l'arr\u00eate vraiment: signature SMB, MIC, channel binding et protection \u00e9tendue (EPA).","og_url":"https:\/\/remivernier.com\/index.php\/2026\/11\/12\/ntlm-relay-signature-smb-protection-etendue\/","og_site_name":"R\u00e9mi VERNIER","article_published_time":"2026-11-12T14:00:00+00:00","author":"R\u00e9mi","twitter_card":"summary_large_image","twitter_misc":{"\u00c9crit par":"R\u00e9mi","Dur\u00e9e de lecture estim\u00e9e":"10 minutes"},"schema":{"@context":"https:\/\/schema.org","@graph":[{"@type":"Article","@id":"https:\/\/remivernier.com\/index.php\/2026\/11\/12\/ntlm-relay-signature-smb-protection-etendue\/#article","isPartOf":{"@id":"https:\/\/remivernier.com\/index.php\/2026\/11\/12\/ntlm-relay-signature-smb-protection-etendue\/"},"author":{"name":"R\u00e9mi","@id":"https:\/\/remivernier.com\/#\/schema\/person\/a4c76c63a5a3d94454484845e42fc906"},"headline":"NTLM relay: signature SMB et protection \u00e9tendue expliqu\u00e9es","datePublished":"2026-11-12T14:00:00+00:00","mainEntityOfPage":{"@id":"https:\/\/remivernier.com\/index.php\/2026\/11\/12\/ntlm-relay-signature-smb-protection-etendue\/"},"wordCount":1980,"commentCount":0,"keywords":["channel binding","cve-2025-33073","epa","mic","ntlm","petitpotam","relay","smb signing"],"articleSection":["NTLM","Protocoles","S\u00e9curit\u00e9"],"inLanguage":"fr-FR","potentialAction":[{"@type":"CommentAction","name":"Comment","target":["https:\/\/remivernier.com\/index.php\/2026\/11\/12\/ntlm-relay-signature-smb-protection-etendue\/#respond"]}]},{"@type":"WebPage","@id":"https:\/\/remivernier.com\/index.php\/2026\/11\/12\/ntlm-relay-signature-smb-protection-etendue\/","url":"https:\/\/remivernier.com\/index.php\/2026\/11\/12\/ntlm-relay-signature-smb-protection-etendue\/","name":"NTLM relay: signature SMB et protection \u00e9tendue expliqu\u00e9es - R\u00e9mi VERNIER","isPartOf":{"@id":"https:\/\/remivernier.com\/#website"},"datePublished":"2026-11-12T14:00:00+00:00","author":{"@id":"https:\/\/remivernier.com\/#\/schema\/person\/a4c76c63a5a3d94454484845e42fc906"},"description":"Pourquoi un \u00e9change NTLMSSP peut \u00eatre relay\u00e9, et ce qui l'arr\u00eate vraiment: signature SMB, MIC, channel binding et protection \u00e9tendue (EPA).","breadcrumb":{"@id":"https:\/\/remivernier.com\/index.php\/2026\/11\/12\/ntlm-relay-signature-smb-protection-etendue\/#breadcrumb"},"inLanguage":"fr-FR","potentialAction":[{"@type":"ReadAction","target":["https:\/\/remivernier.com\/index.php\/2026\/11\/12\/ntlm-relay-signature-smb-protection-etendue\/"]}]},{"@type":"BreadcrumbList","@id":"https:\/\/remivernier.com\/index.php\/2026\/11\/12\/ntlm-relay-signature-smb-protection-etendue\/#breadcrumb","itemListElement":[{"@type":"ListItem","position":1,"name":"Accueil","item":"https:\/\/remivernier.com\/"},{"@type":"ListItem","position":2,"name":"NTLM relay: signature SMB et protection \u00e9tendue expliqu\u00e9es"}]},{"@type":"WebSite","@id":"https:\/\/remivernier.com\/#website","url":"https:\/\/remivernier.com\/","name":"R\u00e9mi VERNIER","description":"Identit\u00e9, s\u00e9curit\u00e9, SAP et IA : Active Directory, Azure & co...","potentialAction":[{"@type":"SearchAction","target":{"@type":"EntryPoint","urlTemplate":"https:\/\/remivernier.com\/?s={search_term_string}"},"query-input":{"@type":"PropertyValueSpecification","valueRequired":true,"valueName":"search_term_string"}}],"inLanguage":"fr-FR"},{"@type":"Person","@id":"https:\/\/remivernier.com\/#\/schema\/person\/a4c76c63a5a3d94454484845e42fc906","name":"R\u00e9mi","image":{"@type":"ImageObject","inLanguage":"fr-FR","@id":"https:\/\/secure.gravatar.com\/avatar\/f750448bc07f5d1d9c1189344283777ec0d33275c184599b199fb6b305bc6fba?s=96&d=mm&r=g","url":"https:\/\/secure.gravatar.com\/avatar\/f750448bc07f5d1d9c1189344283777ec0d33275c184599b199fb6b305bc6fba?s=96&d=mm&r=g","contentUrl":"https:\/\/secure.gravatar.com\/avatar\/f750448bc07f5d1d9c1189344283777ec0d33275c184599b199fb6b305bc6fba?s=96&d=mm&r=g","caption":"R\u00e9mi"},"sameAs":["http:\/\/www.linkedin.com\/in\/remi-vernier"]}]}},"_links":{"self":[{"href":"https:\/\/remivernier.com\/index.php\/wp-json\/wp\/v2\/posts\/1321","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/remivernier.com\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/remivernier.com\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/remivernier.com\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/remivernier.com\/index.php\/wp-json\/wp\/v2\/comments?post=1321"}],"version-history":[{"count":1,"href":"https:\/\/remivernier.com\/index.php\/wp-json\/wp\/v2\/posts\/1321\/revisions"}],"predecessor-version":[{"id":1322,"href":"https:\/\/remivernier.com\/index.php\/wp-json\/wp\/v2\/posts\/1321\/revisions\/1322"}],"wp:attachment":[{"href":"https:\/\/remivernier.com\/index.php\/wp-json\/wp\/v2\/media?parent=1321"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/remivernier.com\/index.php\/wp-json\/wp\/v2\/categories?post=1321"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/remivernier.com\/index.php\/wp-json\/wp\/v2\/tags?post=1321"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}