ADCS (Active Directory Certificate Services)

Définition

ADCS (Active Directory Certificate Services) est le rôle serveur Windows fournissant l'infrastructure PKI de l'entreprise, permettant l'émission, la gestion et la révocation de certificats numériques intégrés à l'écosystème Active Directory pour l'authentification, la signature et le chiffrement. Les erreurs de configuration des Certificate Templates gérés par ADCS constituent, depuis leur documentation systématique à partir de 2021, l'un des vecteurs d'attaque Active Directory les plus critiques et les plus fréquemment identifiés lors des audits de sécurité menés en 2025 et 2026, regroupés sous la nomenclature ESC1 à ESC13 et enrichie de scénarios additionnels. Ces vulnérabilités exploitent des configurations variées : permission accordée à un utilisateur peu privilégié de spécifier librement le Subject Alternative Name de son certificat, permissions d'inscription excessives accordées sur un modèle sensible, ou relais NTLM (NTLM Relay) dirigé vers les points d'inscription web non protégés de la CA. L'exploitation réussie de l'une de ces configurations permet typiquement d'obtenir un certificat d'authentification au nom d'un compte à privilèges élevés, y compris un contrôleur de domaine, ouvrant la voie à une compromission complète via Pass-the-Certificate suivi d'une attaque DCSync. L'audit systématique d'ADCS via des outils spécialisés comme Certipy, couplé à une revue régulière des permissions déléguées sur les modèles et la CA, constitue désormais un impératif de sécurité incontournable pour toute organisation ayant déployé ce rôle.