AD CS avanzado: ESC6, ESC9, ESC10 y la era del mapeo fuerte de certificados

El vector conocido como ESC6 ocurre a nivel de la configuración global de la CA y no en plantillas individuales. Si el flag EDITF_ATTRIBUTESUBJECTALTNAME2 se encuentra habilitado en el registro de la entidad certificadora, la CA permitirá que cualquier solicitud de certificado especifique un nombre alternativo de sujeto (SAN) arbitrario en los atributos de la petición.

Esto significa que incluso si las plantillas tienen desmarcada la opción 'Supply in the request', la CA ignorará esa restricción y emitirá un certificado a nombre de cualquier usuario o Administrador del Dominio, convirtiendo cualquier plantilla válida para autenticación en una vía de compromiso total.

Tradicionalmente, cuando un usuario presentaba un certificado digital para autenticarse mediante Kerberos PKINIT, el KDC buscaba en el directorio al usuario cuyo User Principal Name (UPN) o sAMAccountName coincidiera con la identidad indicada en el certificado.

En los escenarios ESC9 y ESC10, un atacante con permisos de escritura sobre una cuenta intermedia (GenericWrite sobre una cuenta de máquina o usuario) cambia temporalmente su UPN para que coincida con el de un administrador, solicita un certificado legítimo sin SAN malicioso, y luego revierte el UPN. Como el certificado no contenía el SID del objeto, el sistema lo aceptaba válidamente para autenticarse como el administrador.

En respuesta a estas vulnerabilidades sistémicas, Microsoft publicó la actualización de seguridad KB5014754, que introdujo una nueva extensión en los certificados: la inclusión del OID del SID de seguridad del objeto (szOID_NTDS_CA_SECURITY_EXT).

Con esta mejora, el KDC no se limita a leer el nombre en el certificado; comprueba que el SID embebido criptográficamente coincida con el SID real del objeto en Active Directory. El despliegue de esta actualización culmina en el modo 'Full Enforcement', donde cualquier certificado que carezca de mapeo fuerte es rechazado para autenticación de dominio.

Para auditar el estado de AD CS, los equipos defensivos utilizan herramientas especializadas como Certify, PSPKIA o Locksmith. La remediación incluye deshabilitar de forma inmediata el flag EDITF_ATTRIBUTESUBJECTALTNAME2 mediante certutil -setreg policy\EditFlags -EDITF_ATTRIBUTESUBJECTALTNAME2.

Asimismo, se deben eliminar las plantillas obsoletas o no utilizadas, revocar permisos de escritura no autorizados sobre las plantillas y el objeto de la CA en el contenedor Public Key Services, y asegurar que todos los servidores de dominio tengan activo el modo de cumplimiento estricto de certificados.