Domain Trust

Définition

Le Domain Trust est une relation de confiance établie entre deux domaines Active Directory, permettant aux utilisateurs authentifiés dans l'un d'accéder aux ressources autorisées dans l'autre sans nécessiter de compte dupliqué. Cette relation est matérialisée techniquement par des objets TDO (Trusted Domain Object) présents de part et d'autre, associés à une clé de confiance partagée (trust key) utilisée pour sécuriser les échanges d'authentification inter-domaines via le protocole Netlogon Secure Channel. Un Domain Trust se distingue par plusieurs attributs configurables : sa direction, unidirectionnelle ou bidirectionnelle, déterminant le sens dans lequel s'exerce la confiance ; sa transitivité, qui détermine si l'approbation s'étend automatiquement à des domaines tiers ; et son type, le plus courant étant le trust parent-enfant automatiquement créé lors de l'ajout d'un nouveau domaine dans une forêt existante. Contrairement au Forest Trust qui s'établit au niveau racine entre deux forêts entières, le Domain Trust s'applique spécifiquement entre domaines, y compris au sein d'une même forêt multi-domaines. La cartographie exhaustive des Domain Trusts, réalisée en pentest via des outils comme BloodHound ou la commande nltest, permet d'identifier des chemins d'escalade de privilèges inter-domaines exploitant des filtrages SID insuffisants ou des relations de confiance historiques oubliées, souvent héritées de fusions d'entreprises ou de restructurations organisationnelles anciennes.