Enterprise PKI ADCS Architecture

Définition

L'Enterprise PKI, l'infrastructure de clés publiques d'entreprise reposant sur AD CS (Active Directory Certificate Services) désigne l'ensemble des rôles de service Microsoft permettant de déployer une hiérarchie complète d'autorités de certification intégrée à Active Directory, utilisée pour émettre et gérer des certificats numériques au sein d'une organisation : authentification par carte à puce ou Windows Hello for Business, signature de code, chiffrement de fichiers via EFS, ou sécurisation de services internes comme LDAPS. L'architecture recommandée par Microsoft repose sur une hiérarchie à deux niveaux : une autorité de certification racine (Root CA) hors ligne, isolée du réseau et activée uniquement pour signer les certificats des autorités subordonnées, garantissant qu'une compromission réseau ne puisse jamais atteindre la clé racine, et une ou plusieurs autorités de certification subordonnées (Issuing CA) en ligne, chargées de l'émission courante des certificats aux utilisateurs et systèmes du domaine. Cette infrastructure a fait l'objet ces dernières années d'une classe majeure de vulnérabilités documentée sous le nom ESC1 à ESC8 par le chercheur Will Schroeder, exploitant des modèles de certificat mal configurés (permettant par exemple à un utilisateur standard de spécifier son propre Subject Alternative Name) pour obtenir un certificat permettant l'authentification en tant qu'administrateur de domaine, transformant ainsi une PKI mal durcie en vecteur d'escalade de privilèges critique désormais systématiquement recherché lors des audits et tests d'intrusion Active Directory.