Primary Refresh Token (PRT)

Définition

Le Primary Refresh Token (PRT) est un jeton d'authentification clé émis par Azure AD / Microsoft Entra ID à un appareil Windows joint au domaine Azure AD, hybride Azure AD ou enregistré (Azure AD Registered), qui matérialise l'état d'authentification persistant de l'utilisateur principal sur cet appareil et permet une expérience de connexion unique (SSO) fluide à l'ensemble des applications cloud et ressources on-premises intégrées à Entra ID, sans redemander systématiquement les identifiants ni le second facteur d'authentification. Le PRT est stocké de manière protégée sur l'appareil, lié cryptographiquement à une clé de session (session key) elle-même protégée par le module TPM (Trusted Platform Module) lorsqu'il est disponible, rendant son extraction et sa réutilisation sur un autre appareil normalement impraticables sans compromission du matériel. Sur le plan offensif, des outils comme AADInternals ou ROADtools permettent, sous certaines conditions et avec des privilèges administrateur locaux suffisants, d'extraire le PRT et sa clé de session associée pour forger des jetons d'accès valides, contournant ainsi l'authentification multifacteur déjà validée pour la session en cours. Cette technique constitue l'un des vecteurs de compromission cloud les plus critiques identifiés ces dernières années, renforçant l'importance de la protection matérielle du poste et de la mise en œuvre de la fonctionnalité Token Protection de Microsoft Entra ID.