Attaque ESC1 (ADCS)

Définition

L'attaque ESC1 désigne l'une des techniques documentées d'abus des services de certificats Active Directory, ADCS, exploitant un modèle de certificat mal configuré autorisant un demandeur à spécifier lui-même le nom d'objet alternatif figurant dans le certificat qu'il demande, tout en permettant à ce même modèle une authentification via ce certificat, une combinaison de paramètres qui, prise ensemble, permet à un utilisateur à faibles privilèges de demander un certificat en spécifiant l'identité d'un compte à privilèges élevés, par exemple un administrateur de domaine, comme nom alternatif du certificat obtenu. Une fois ce certificat émis par l'autorité de certification légitime de l'organisation, l'attaquant peut l'utiliser pour s'authentifier auprès du domaine en usurpant complètement l'identité du compte visé, obtenant un accès équivalent à celui du compte usurpé sans jamais avoir eu besoin de connaître son mot de passe, le certificat servant de preuve d'authentification suffisante et acceptée par le domaine. Cette classe de vulnérabilité, révélée publiquement dans une recherche largement diffusée sur les faiblesses structurelles d'ADCS, touche un nombre significatif d'environnements Active Directory ayant déployé des services de certificats sans durcissement spécifique de leurs modèles. Pour les équipes défensives, la contre-mesure consiste à auditer systématiquement les modèles de certificats déployés via des outils dédiés comme Certipy, à retirer la permission d'inscription des utilisateurs standards sur les modèles vulnérables, et à désactiver l'option permettant au demandeur de spécifier son propre nom alternatif.