AS-REPローステイング
Kerberosの事前認証が無効なアカウントは、パスワードで暗号化されたパケットを、頼んだ誰にでも渡してしまう。ログインは要らない。
事前認証は、サーバーが暗号化されたものを返す前に、要求側にパスワードを知っている証拠を示させるために存在する。DONT_REQ_PREAUTHフラグが立っていると（たいてい、古いアプリケーションが対応できないという理由で）、ドメインコントローラーはそのままAS-REPを返し、その一部がアカウントの鍵で暗号化されている。
攻撃者に必要なのはユーザー名だけだ。応答を回収し、hashcatのモード18200に渡せばよい。Kerberoastingとの違いは、あちらが有効なチケット、つまりドメイン内の足場を必要とするのに対し、こちらはドメインコントローラーにネットワーク到達できれば足りる点にある。対策は、ディレクトリを監査してフラグを洗い出すことと、直せないアカウントには長いパスワードを強制することである。