LDAP Channel Binding

Définition

Le LDAP Channel Binding est un mécanisme de sécurité liant cryptographiquement une session LDAP transportée sur TLS (LDAPS) au message d'authentification NTLM qu'elle contient, empêchant qu'une authentification interceptée sur un canal chiffré ne soit relayée avec succès vers un autre canal, même distinct. Ce contrôle comble une lacune spécifique laissée ouverte par le LDAP Signing seul : la signature LDAP protège efficacement les communications LDAP en clair contre le relais, mais reste insuffisante face à une attaque de relais visant spécifiquement LDAPS, où l'attaquant peut établir sa propre session TLS distincte avec le contrôleur de domaine tout en y injectant l'authentification NTLM interceptée sur une autre connexion. Le Channel Binding empêche ce scénario en vérifiant que le canal TLS utilisé pour l'authentification correspond exactement à celui prévu, rendant caduque toute tentative de relais transitant par un canal TLS distinct de celui de la victime d'origine. Microsoft recommande l'activation conjointe du LDAP Signing et du LDAP Channel Binding depuis plusieurs années, ce dernier étant devenu impératif face à la généralisation des attaques de relais dirigées vers les points d'inscription LDAPS d'AD CS documentées dans le cadre des vulnérabilités ESC8. L'absence de Channel Binding sur un contrôleur de domaine reste régulièrement identifiée comme une faiblesse critique lors des audits de sécurité Active Directory contemporains.