Hay un artículo bastante bueno de Microsoft KB sobre este tema exacto.
Básicamente, LM se usa para la compatibilidad con clientes más antiguos. En concreto, Windows 98 y anteriores. Si no tiene ningún cliente antiguo en la red, es probable que la causa de ambos hash sea que la longitud de la contraseña es de < 15 caracteres.
Cuando establece o cambia la contraseña de una cuenta de usuario a una contraseña
que contiene menos de 15 caracteres, Windows genera tanto una LAN
Administrador de hash (hash de LM) y un hash de Windows NT (hash de NT) del
contraseña.
Parece que la razón de esto se debe a las limitaciones de hashing de LM y no a la seguridad.
En el caso de que la contraseña del usuario tenga más de 15 caracteres,
el host o el controlador de dominio no almacenarán el hash LM para el usuario;
La respuesta LM no se puede utilizar para autenticar al usuario en este caso.
Todavía se genera una respuesta y se coloca en el campo Respuesta LM,
utilizando un valor nulo de 16 bytes (0x0000000000000000000000000000000000) como
LM hash en el cálculo. Este valor es ignorado por el objetivo.
Se recomienda deshabilitar los hashes LM ya que el protocolo está muy dañado como sugeriste. Para aquellos que no lo saben, algunos de los problemas con LM incluyen:
- Las contraseñas no distinguen entre mayúsculas y minúsculas.
- La contraseña se divide en 7 caracteres y se hash por separado, lo que hace que la fuerza bruta sea trivial.
- Las contraseñas están limitadas a un máximo de 14 caracteres de longitud.
Hay un par de métodos para eliminar hash de LM enumerados en el artículo de KB que mencioné, citaré el método de GPO en caso de que el enlace se estropee.
Método 1: implemente la política de NoLMHash mediante el uso de la política de grupo
Para deshabilitar el almacenamiento de hashes LM de las contraseñas de un usuario en la base de datos SAM de la computadora local mediante el uso de la Política de grupo local (Windows XP o Windows Server 2003) o en un entorno de Active Directory de Windows Server 2003 mediante el uso de la Política de grupo en Active Directory ( Windows Server 2003), siga estos pasos:
- En la Política de grupo, expanda Configuración del equipo, expanda Configuración de Windows, expanda Configuración de seguridad, expanda Políticas locales y, a continuación, haga clic en Opciones de seguridad.
- En la lista de políticas disponibles, haga doble clic en Seguridad de red: no almacene el valor de hash de LAN Manager en el próximo cambio de contraseña.
- Haz clic en Activado y luego haz clic en Aceptar.