ReadLAPSPassword

Définition

ReadLAPSPassword est un droit de contrôle d'accès Active Directory permettant à son détenteur de lire la valeur en clair du mot de passe administrateur local géré par la solution LAPS (Local Administrator Password Solution), stockée dans un attribut dédié de l'objet ordinateur correspondant — ms-Mcs-AdmPwd pour LAPS classique, ou msLAPS-Password pour Windows LAPS intégré nativement depuis les versions récentes de Windows Server. Ce droit est délibérément conçu pour être délégué de façon restreinte, généralement aux seuls groupes d'administration système autorisés à intervenir sur les machines concernées, l'objectif fondamental de LAPS étant précisément d'empêcher un accès non contrôlé à ce secret critique. Une délégation ReadLAPSPassword excessive ou mal calibrée, accordée par exemple à un groupe trop large lors de la configuration initiale de la délégation, constitue un vecteur d'exploitation direct et immédiat : un attaquant disposant de ce droit sur un objet ordinateur peut obtenir instantanément un accès administrateur local complet sur cette machine, sans nécessiter aucune autre technique d'exploitation supplémentaire. Les outils d'analyse comme BloodHound intègrent nativement la détection de cette relation dans leur cartographie des chemins d'attaque, en particulier lorsque le principal disposant du droit ReadLAPSPassword contrôle par ailleurs un compte compromis. L'audit régulier de cette délégation constitue un contrôle prioritaire dans tout environnement ayant déployé LAPS pour la gestion des comptes administrateurs locaux.