Certificate Template

Définition

Le Certificate Template (modèle de certificat) est un objet Active Directory définissant l'ensemble des paramètres appliqués lors de l'émission d'un type de certificat par une autorité de certification AD CS (Active Directory Certificate Services). Chaque modèle spécifie notamment les extensions incluses dans le certificat final, comme l'Extended Key Usage déterminant les usages autorisés (authentification client, signature de code), sa durée de validité, les algorithmes cryptographiques acceptés, et surtout les permissions d'inscription (Enroll) et d'inscription automatique (Autoenroll) accordées à des utilisateurs ou groupes précis. Ces modèles constituent la surface d'attaque centrale de la famille de vulnérabilités ESC1 à ESC15, documentée depuis 2021 : un modèle autorisant un demandeur à spécifier son propre Subject Alternative Name (SAN) sans validation stricte (configuration ESC1) permet par exemple à un utilisateur peu privilégié de demander un certificat au nom d'un administrateur du domaine, puis de s'authentifier comme lui via PKINIT. D'autres scénarios exploitent des permissions ACL trop larges accordées sur le modèle lui-même, permettant à un attaquant de modifier ses paramètres pour y introduire une configuration vulnérable. L'audit systématique des Certificate Templates, notamment via l'outil Certipy qui automatise la détection des configurations ESC exploitables, constitue désormais une étape incontournable de tout audit de sécurité Active Directory couvrant l'infrastructure PKI de l'organisation.