Delegación y cuentas con delegación, revisión

La delegación sin restricción deja que el servicio reciba una copia del TGT de quien se conecta y lo reutilice contra cualquier otro servicio. Es la más amplia y la más peligrosa: si el servidor se compromete, todas las identidades que pasaron por él quedan expuestas. Los controladores de dominio la tienen por diseño; en cualquier otro equipo es un hallazgo que se justifica o se retira.

La delegación restringida limita a qué servicios concretos puede llegar la cuenta, con una lista de nombres de servicio. La delegación basada en recursos invierte el control: lo decide el servicio de destino, no el origen. Una cuenta puede además tener transición de protocolo, que le permite pedir tickets en nombre de alguien que no se autenticó con Kerberos.

ls delegacion
cat delegacion/cuentas.csv

Una revisión de delegación empieza por lo más amplio. En la lista de cuentas, la columna de delegación dice «sin restricción» en los controladores de dominio y puede decirlo en otras cuentas. Cada una de esas últimas necesita un motivo de negocio escrito y un dueño; si nadie la recuerda, es candidata a retirarse.

grep "sin restricción" delegacion/cuentas.csv

En la delegación restringida lo importante es la lista de destinos. Una aplicación web que delega hacia la base de datos de su propio sistema es una configuración normal. Una cuenta de servicio de informes que puede presentarse como cualquier persona ante un servicio de directorio de un controlador es otra cosa: el destino es la pieza más sensible del dominio y hay que preguntar por qué.

Lee la columna de destinos y mira cuál apunta a un controlador.

cat delegacion/cuentas.csv

Las cuentas de administración deben llevar la marca «la cuenta es importante y no se puede delegar», que impide que un servicio las use como identidad delegada aunque la delegación esté mal configurada en otro lado. Hay además un grupo de seguridad, Protected Users, que añade protecciones de Kerberos y ya incluye esa restricción. Una auditoría no arregla nada: cuenta cuántas cuentas privilegiadas tienen la marca puesta y cuántas no.

Cuenta las cuentas de cualquier grupo privilegiado cuya columna de no delegable dice «no».

Cada hallazgo de delegación termina con una recomendación que el dueño del sistema pueda ejecutar sin ambigüedad. Si el hallazgo es una cuenta con delegación sin restricción que no justifica su existencia, la recomendación es retirarla o sustituirla por una forma acotada, y comprobar antes con el dueño de la aplicación que no se rompe nada.