Cached Domain Credentials

Définition

Les Cached Domain Credentials (identifiants de domaine mis en cache) désignent un mécanisme Windows permettant à un poste de travail joint à un domaine Active Directory de conserver localement une empreinte chiffrée des dix derniers identifiants de connexion réussis par défaut, stockée dans la ruche de registre SECURITY sous forme de hash MSCACHEv2 (également appelé DCC2, Domain Cached Credentials version 2), afin de permettre l'ouverture de session de l'utilisateur même en l'absence de connectivité réseau vers un contrôleur de domaine, scénario typique d'un ordinateur portable utilisé hors du réseau d'entreprise. Contrairement au hash NTLM, le format MSCACHEv2 repose sur l'algorithme PBKDF2 avec dix mille itérations de HMAC-SHA1, le rendant nettement plus coûteux à casser par force brute que le hash NTLM classique, et surtout, il ne peut absolument pas être réutilisé directement dans une attaque Pass-the-Hash pour s'authentifier auprès d'autres systèmes, contrairement au hash NTLM. Des outils comme Mimikatz, via le module lsadump::cache, ou Hashcat en mode 2100, permettent respectivement l'extraction et le cassage hors ligne de ces hashes une fois un accès administrateur local obtenu sur le poste. La réduction du nombre d'identifiants mis en cache via la stratégie de groupe correspondante, voire sa désactivation complète sur les postes à haut risque, constitue une mesure de durcissement recommandée pour les environnements à forte exigence de sécurité.