Plantillas vulnerables de certificados: ESC1 y relé ESC8

En AD CS, una plantilla de certificado define quién puede solicitarla y para qué sirve. La condición de vulnerabilidad ESC1 ocurre cuando coinciden tres factores en una plantilla publicada: 1) Los usuarios autenticados comunes tienen permisos de inscripción (Enroll). 2) La plantilla permite Autenticación de Cliente (Client Authentication) como uso de clave extendido (EKU). 3) En la pestaña de Nombre de Sujeto, la opción 'Supply in the request' (ENROLLEE_SUPPLIES_SUBJECT) está activada, lo que autoriza al cliente a especificar en la petición qué identidad figurará en el certificado emitido.

Cuando una plantilla vulnerable a ESC1 está activa en Marisma, cualquier empleado puede emitir una petición de certificado incluyendo en el campo Nombre Alternativo del Sujeto (SAN) el correo o nombre de la cuenta 'Administrator'. La Entidad de Certificación (CA) firma el certificado sin validar si quien lo pide es realmente el Administrador. Con ese archivo de certificado y su clave privada en mano, el atacante utiliza la extensión PKINIT de Kerberos para solicitar un TGT directamente a nombre del Administrador del Dominio.

Muchos servidores AD CS instalan el rol complementario de Inscripción Web (sitio web '/certsrv' en IIS). Este servicio permite solicitar certificados a través de un navegador web y, por defecto, admite autenticación NTLM sin protección extendida (EPA) ni forzado de firmas. Si un atacante coacciona a una máquina del dominio para que se conecte hacia él y reenvía (relé) esa autenticación NTLM entrante contra la web de la CA, la entidad emite un certificado a nombre de la máquina víctima de forma totalmente transparente.

El cierre de estas dos brechas es directo una vez conocidas las causas: para ESC1, desmarcar la opción 'Supply in the request' en todas las plantillas que admitan autenticación de cliente, obligando a que la identidad se construya exclusivamente a partir de los datos verificados del objeto en Active Directory. Para ESC8, deshabilitar la interfaz web '/certsrv' si no es estrictamente necesaria o, en su defecto, habilitar Protección Extendida para la Autenticación (EPA) y forzar que el canal requiera HTTPS con enlace de canal sellado.