Sapphire Ticket

Définition

Le Sapphire Ticket est une technique d'attaque Kerberos récente, apparentée conceptuellement au Silver Ticket, exploitant spécifiquement le mécanisme d'authentification par certificat PKINIT dans les environnements Active Directory disposant d'AD CS. Contrairement à un Silver Ticket classique forgé à partir du hachage NTLM d'un compte de service, le Sapphire Ticket s'appuie sur les informations issues de la clé de session PKINIT ou de matériel cryptographique obtenu lors d'une authentification par certificat, permettant de forger un ticket de service falsifié tout en contournant certaines mesures de détection spécifiquement conçues pour repérer les Silver Ticket classiques, notamment celles vérifiant la cohérence du champ PAC (Privilege Attribute Certificate) inclus dans le ticket. Cette technique illustre l'évolution continue des attaques Kerberos en réponse au renforcement progressif des détections défensives : à mesure que les organisations déploient des règles de détection ciblant les schémas d'attaque connus comme le Golden Ticket ou le Silver Ticket classique, de nouvelles variantes exploitant des surfaces d'attaque adjacentes, comme l'intégration entre Kerberos et la PKI via PKINIT, émergent régulièrement dans la recherche offensive. La compréhension du Sapphire Ticket souligne l'importance d'une défense en profondeur ne reposant pas exclusivement sur la détection de signatures spécifiques, mais également sur la surveillance comportementale des schémas d'authentification anormaux au sein du domaine.