Abuso de AD CS (AD CS abuse)
El abuso de AD CS es la explotación de un Active Directory Certificate Services mal configurado para obtener un certificado que autentica como otra cuenta. Como el directorio acepta el inicio de sesión por certificado, un certificado emitido para un usuario privilegiado equivale a sus credenciales, y no cambia cuando esa persona cambia su contraseña.
La variante más común es una plantilla de certificado que junta tres propiedades: deja que quien lo solicita indique el subject alternative name, incluye un extended key usage que permite autenticación de cliente, y la puede solicitar cualquier usuario del dominio. Un atacante con una cuenta de dominio cualquiera pide un certificado a nombre de un administrador del dominio, la autoridad de certificación se lo emite y el atacante se autentica como ese administrador. Aquí no hay exploit ni software sin parchear: la petición es legítima y la plantilla dijo que sí.
Otras variantes atacan la maquinaria de alrededor en vez de la plantilla: puntos de solicitud que aceptan autenticación reenviada, agentes autorizados a solicitar certificados en nombre de terceros, y control de acceso débil sobre la propia autoridad de certificación, que permite modificar las plantillas hasta dejarlas en el estado descrito más arriba.
Se ha convertido en una de las rutas más cortas a administrador de dominio en los últimos encargos internos, y la investigación que puso nombre a estas configuraciones es pública, así que los dos bandos tienen el mismo mapa. Sobrevive porque la autoridad de certificación suele pertenecer a un equipo que se considera fuera de la seguridad de Active Directory, y los cambios de plantilla se hacen por un proyecto de aplicación. La evidencia en un informe es el nombre de la plantilla, la propiedad concreta que permite el abuso y la identidad que hemos obtenido, junto a la revisión más amplia de la infraestructura de clave pública que forma parte de las pruebas internas donde las plantillas de certificado se enumeran por rutina.