Manuel Mildreder, Security Consultant bei Bechtle, erläutert in einem praxisnahen Vortrag drei typische Schwachstellen der Microsoft Windows-Zertifizierungsstelle (Active Directory Certificate Services, AD CS), die häufig in Unternehmen zu einer Kompromittierung der gesamten Windows-Domäne führen können. Er erklärt Schritt für Schritt, wie bereits ein normaler Benutzer durch Fehlkonfigurationen in der PKI/Vorlagenstruktur zum Domain-Administrator werden kann. Besonders problematisch seien fehlerhafte Berechtigungen bei Certificate Templates, die Möglichkeit NTLM-Relaying über die Web-Enrollment-Schnittstelle und das sogenannte Coercing, welche auch ohne klassische Fehlkonfigurationen gravierende Folgen haben können. Abschließend gibt er Hinweise zu Gegenmaßnahmen und verweist auf sein Angebot zur Prüfung und Schulung.
Der Vortrag von Manuel Mildreder thematisiert die Risiken und Angriffsvektoren, die sich aus Fehlkonfigurationen und bekannten Schwachstellen der Active Directory Certificate Services (AD CS) ergeben. Nach einer kurzen Einführung zur Rolle der PKI (Public Key Infrastructure) und der Windows-Zertifizierungsstelle zeigt er, dass das Produkt heutzutage immer noch im Einsatz ist und für Angreifer ein lohnendes Ziel darstellt.
Der Kern des Vortrags sind drei häufige Schwachstellen:
1. Fehlkonfigurierte Certificate Templates: Wenn bei einer Vorlage die Option besteht, den Subject Alternative Name (SAN) selbst anzugeben, und kein Manager Approval erforderlich ist, kann jeder berechtigte Benutzer Zertifikate mit beliebigen Identitäten beantragen. Dadurch ist es möglich, sich beispielsweise als Domain-Administrator auszugeben und entsprechende Rechte zu erhalten.
2. Angriff über Computerkonten: Angreifer können sich Zertifikate für Computerkonten besorgen, sofern sie lokaler Administrator auf einem Rechner sind. Mit speziellen Tools und Kenntnis der SID des Zielobjekts führen sie Angriffe wie DC-Sync aus und stehlen so Passwort-Hashes.
3. NTLM-Relaying und Coercing: Die Web-Enrollment-Schnittstelle von AD CS ermöglicht es Angreifern, Anmeldungen über NTLM-Relaying weiterzuleiten und damit Zertifikate zu erschleichen. Durch Coercing kann sogar gezielt ein Domain-Controller dazu gebracht werden, seine Anmeldedaten preiszugeben. Diese Lücke ist Microsoft bekannt (ESC8), bleibt aber ungepatcht, da sie als "mitigierbar" gilt.
Mildreder betont die Wichtigkeit, Berechtigungen korrekt zu setzen, Manager Approvals zu aktivieren, und die Web-Enrollment-Schnittstelle stillzulegen. Zudem empfiehlt er eine Netzwerksegmentierung zwischen Clients und Domain-Controllern, um Angriffe zu erschweren. Als Unterstützung bietet er eine Eintagesschulung sowie einen Workshop zur Überprüfung der eigenen Umgebung an und verweist auf die Community und den "Certified Pre-Owned"-Blogartikel als weitere Ressource.
Microsofts Weigerung, z. B. die Coercing-Schwachstelle zu patchen, erklärt er mit der Komplexität und Kompatibilität bestehender Infrastrukturen, jedoch seien die Risiken durch entsprechende Segmentierung und Konfiguration beherrschbar.
