Delegación restringida y extensiones S4U

Microsoft diseñó dos extensiones de Kerberos para escenarios web: 1) S4U2self: permite a una cuenta de servicio solicitar un ticket de servicio (TGS) hacia sí misma en nombre de cualquier usuario del dominio, sin necesidad de que ese usuario le entregue una contraseña. 2) S4U2proxy: permite a la cuenta de servicio tomar ese ticket y reenviarlo a un segundo servicio autorizado (por ejemplo, un servidor SQL) para completar la transacción en nombre de la identidad suplantada.

En la delegación restringida existen dos modalidades: 'Solo Kerberos' o 'Usar cualquier protocolo de autenticación' (transición de protocolo). Si un administrador configura esta última opción, el atributo msDS-AllowedToDelegateTo define qué servicios destino pueden recibir tickets, y el flag TRUSTED_TO_AUTH_FOR_DELEGATION se activa. Si el atacante compromete la clave de la cuenta de servicio, puede usar S4U2self para simular que un Administrador del Dominio se conectó a ella y luego usar S4U2proxy para obtener acceso administrativo en el host destino.

Active Directory ofrece una defensa directa para cuentas de administración clave: marcar la opción 'La cuenta es confidencial y no se puede delegar' (ACCOUNTNOTDELEGATED en UserAccountControl). Cuando este flag está activo, el KDC rechaza cualquier solicitud de delegación (S4U2proxy o sin restricciones) que involucre a esa cuenta, emitiendo tickets que no pueden ser transferidos hacia otros servicios bajo ninguna circunstancia.

Las cuentas de usuario ordinarias empleadas como servicios son vulnerables a Kerberoasting y robo de contraseñas. La solución moderna recomendada por Microsoft son las Group Managed Service Accounts (gMSA). Las gMSA tienen contraseñas complejas de 128 caracteres administradas automáticamente por el controlador de dominio que se rotan cada 30 días, no permiten inicio de sesión interactivo y limitan estrictamente qué hosts pueden recuperar el secreto mediante el algoritmo KDS.