PACRequestorEnforcement et l'authentification Kerberos

Durant le Patch Tuesday de novembre 2021, Microsoft a publié de nouvelles mises à jour de sécurité pour Kerberos. Elles comprennent de nouveaux événements système et de nouvelles structures dans le Kerberos Privileged Attribute Certificate (PAC). Examinons les impacts que ces mises à jour peuvent avoir sur les opérations et les attaques basées sur les tickets Kerberos.

Quoi de neuf ?

Selon les mises à jour standard de Microsoft, il y a de nouveaux articles KB ainsi que des mises à jour de protocole. Celui sur lequel nous allons nous concentrer ici est KB5008380, qui détaille les mises à jour pour CVE-2021-42287.

Clé de registre PACRequestorEnforcement

Les mises à jour comportent à la fois une phase de déploiement et une phase d'application. Pour les tests et la rapidité, vous pouvez mettre en œuvre l'application à tout moment avant la sortie de la mise à jour d'application (actuellement prévue pour le 12 juillet 2022).

Vous pouvez configurer le comportement du correctif en appliquant la clé de registre DWORD PACRequestorEnforcement à HKEY_LOCAL_MACHINESystemCurrentControlSetServicesKdc sur vos contrôleurs de domaine.

PACRequestorEnforcement peut avoir les valeurs suivantes :

Mises à jour du protocole

Les mises à jour de novembre 2021 comprenaient également plusieurs mises à jour de protocole pour Kerberos et Active Directory; vous pouvez trouver un aperçu d'elles ici. Pour plus de détails, vous devrez consulter les errata puis le document de différence dans les errata.

Structure PAC mise à jour

Le Privileged Attribute Certificate est utilisé pour encoder les informations d'autorisation des utilisateurs authentifiés ; il contient les appartenances aux groupes, l'historique des SID et les informations générales sur l'utilisateur. Dans les mises à jour de novembre 2021, Microsoft a ajouté deux nouvelles structures de données dans le PAC : PAC_ATTRIBUTES_INFO et PAC_REQUESTOR. Lorsque PACRequestorEnforcement est réglé sur 2, les deux nouveaux champs sont requis pour que le ticket Kerberos soit valide.

L'une des parties les plus intéressantes des mises à jour est la nouvelle validation introduite avec la structure PAC_REQUESTOR. Lorsque cette structure est incluse dans un ticket Kerberos, le KDC (contrôleur de domaine) valide maintenant que le nom du client (cname) (également appelé nom d'utilisateur) correspond au même SID utilisé dans la structure PAC_REQUESTOR, à condition que le client et le KDC soient dans le même domaine. Si cela ne correspond pas, alors le TGT qui a été utilisé est automatiquement révoqué et ne peut plus être utilisé. Cela se produit uniquement lorsque le client et le KDC sont dans le même domaine.

Qu'est-ce que cela signifie pour les Golden Tickets ?

Un Golden Ticket est un ticket Kerberos falsifié que les attaquants utilisent pour accéder à des ressources hautement privilégiées pendant de longues périodes en manipulant le PAC.

Lorsque le mode d'application est actif, les outils qui créent des Golden Tickets seront tenus d'utiliser le champ PAC_REQUESTOR, qui est soumis à validation par le contrôleur de domaine. Cela signifie que les Golden Tickets pour des utilisateurs inexistants ne sont plus possibles lorsqu'ils sont tous dans le même domaine. Cependant, il est toujours possible d'utiliser des utilisateurs inexistants avec des Trust Tickets (Golden Tickets créés pour s'authentifier via une confiance parce que la validation est complétée uniquement lorsque le compte est dans le même domaine que le contrôleur de domaine).

Les nouveaux événements (qui sont détaillés dans les notes de mise à jour) peuvent fournir des indicateurs supplémentaires pour les Golden Tickets, tels que des exploits mal construits ou non mis à jour. Ces nouveaux événements doivent être rassemblés dans un SIEM si vous utilisez la journalisation Windows pour la détection des menaces. Le tableau ci-dessous détaille les différents événements :

Problèmes avec la mise à jour

Malheureusement, dans la version initiale des mises à jour de novembre 2021, certains scénarios de délégation Kerberos ont été rompus, donc un nouveau correctif hors bande a été publié pour les clients confrontés à ce problème. Sander Berkouwer chez DirTeam a rédigé un bon article à ce sujet ici, avec des liens vers chacun des KB disponibles.

Conclusion

Bien que ce soit une bonne mise à jour et un pas dans la bonne direction, il serait excellent que nous continuions à voir d'autres améliorations de protocole par Microsoft pour Kerberos, telles que la validation de la nouvelle structure PAC_REQUESTOR à travers les trusts (ce qui devrait éliminer tous les Golden Tickets d'utilisateurs inexistants), vérifiant que les appartenances dans le PAC correspondent bien à l'utilisateur résolu, et peut-être même vérifier que les informations dans le profil de l'utilisateur sont dans le PAC et que la structure du PAC est conforme. Avoir plus de détections et de préventions natives en place n'est jamais une mauvaise chose et aidera les entreprises à mieux se défendre.