Confianza entre dominios

Una relación de confianza entre dominios le dice a uno que acepte las credenciales autenticadas por el otro. Tiene una dirección —A confía en B quiere decir que las cuentas de B pueden autenticarse en recursos de A, no al revés— y puede ser transitiva, es decir, que se extiende automáticamente a los dominios en los que B confía, o no transitiva, limitada a los dos dominios implicados. Confundir la dirección es el error más común al leer un diagrama de confianzas: el sentido de la flecha importa más que su existencia.

Una relación de confianza convierte el problema de un solo dominio en el problema de dos: si una cuenta del dominio en el que se confía termina con privilegios sobre un objeto del dominio que confía —algo que sucede con más frecuencia de la que debería, por permisos heredados de proyectos antiguos o migraciones a medio hacer—, el camino de privilegio simplemente cruza la frontera. Un evaluador que solo mira el dominio donde empezó puede dar por cerrado un hallazgo que en realidad sigue abierto al otro lado.

En la documentación de Cuenca Minerales, un grupo de LOGISTICA.CUENCA.CORP tiene un permiso directo sobre un objeto de CUENCA.CORP, heredado de un proyecto conjunto de hace tres años que nadie retiró.

Cuando se migran cuentas de un dominio a otro, es habitual conservar su identificador de seguridad anterior (SID history) para que no pierdan de golpe los permisos que ya tenían en el dominio de origen, mientras dura la transición. El problema es que esa transición rara vez se cierra: el SID history se queda activo años después de terminada la migración, y una cuenta migrada sigue arrastrando privilegios de un dominio que ya no debería tocar. Es un hallazgo de higiene, no una técnica de ataque: se reconoce leyendo el atributo, no ejecutando nada.

El hallazgo de una confianza mal acotada no se reporta como «existe una confianza», porque las confianzas entre dominios de una misma empresa son normales y a menudo necesarias. Se reporta como el camino concreto que habilita: qué cuenta, de qué dominio, llega a qué privilegio en el otro, y por qué ruta —una membresía heredada, un SID history sin limpiar, un permiso cruzado de un proyecto antiguo—.