Abuso de AD CS avanzado: ESC4, ESC7 y Golden Certificates

El vector ESC4 no explota una plantilla que ya sea vulnerable, sino los permisos de acceso sobre el objeto de la plantilla en Active Directory (pKICertificateTemplate). Si un usuario de bajos privilegios posee derechos de escritura (WriteDacl, WriteOwner o GenericWrite) sobre una plantilla existente, puede reconfigurar temporalmente sus atributos para activar ENROLLEE_SUPPLIES_SUBJECT y habilitar la autenticación de cliente (convirtiéndola en un ESC1 en vivo), solicitar un certificado como Domain Admin y luego restaurar la configuración original.

En la Autoridad de Certificación existen dos roles administrativos delegados: 'ManageCA' y 'ManageCertificates' (Officer). Si un atacante compromete una cuenta con estos derechos, puede: 1) Aprobar solicitudes de certificados que quedaron en estado pendiente. 2) Habilitar módulos de interfaz de emisión de certificados. 3) Otorgarse a sí mismo el derecho de expedir certificados para cualquier identidad del dominio saltando las revisiones del personal de seguridad.

Si un atacante obtiene acceso a nivel de sistema (SYSTEM) en el servidor donde corre la Autoridad de Certificación raíz, puede exportar la clave privada de la CA (mediante utilidades como Mimikatz o SharpDPAPI). Con la clave privada de la CA, el atacante puede forjar localmente certificados de autenticación para cualquier cuenta del dominio sin contactar jamás al servidor de certificados. Estos 'Golden Certificates' pueden tener validez de hasta diez años y sobreviven a cambios de contraseña de los usuarios.

Para mantener la higiene de AD CS se ejecutan auditorías continuas con herramientas de código abierto como Certipy find -vulnerable o módulos de PowerShell como PSPKIAudit. Estas herramientas escanean todas las plantillas publicadas, las listas de revocación (CRLs), las autoridades subordinadas y las DACLs de los objetos del contenedor Public Key Services, generando un informe pormenorizado de las rutas de abuso que deben corregirse inmediatamente.