Vulnérabilités AD CS (ESC1 à ESC8) : comment sécuriser votre PKI Microsoft?

Active Directory Certificate Services (AD CS) est souvent le maillon oublié de la sécurité Active Directory. Installée il y a des années, rarement auditée, la PKI Microsoft est pourtant capable de délivrer des certificats qui ouvrent les portes de tout le domaine.

En juin 2021, les chercheurs Will Schroeder et Lee Christensen (SpecterOps) ont publié l’étude Certified Pre-Owned. Elle décrit huit erreurs de configuration, nommées ESC1 à ESC8, qui permettent à un simple utilisateur de devenir administrateur du domaine. Cet article présente ces vulnérabilités AD CS, la façon de les détecter et les mesures pour s’en protéger.

Pourquoi AD CS est une cible de choix

• Un certificat vaut un mot de passe. Active Directory accepte les certificats pour authentifier un utilisateur ou une machine (Kerberos PKINIT, Schannel).
• Il survit au changement de mot de passe. Un certificat volé reste utilisable jusqu’à son expiration ou sa révocation, souvent un an ou plus.
• La CA est un actif critique mal protégé. Une autorité de certification d’entreprise a le même niveau de sensibilité qu’un contrôleur de domaine, mais elle est rarement administrée avec la même rigueur.

Les huit vulnérabilités ESC1 à ESC8 en un coup d’œil

Les modèles de certificats : ESC1 à ESC4

La majorité des failles se trouvent dans les modèles de certificats. ESC1 est la plus répandue : un modèle créé pour un usage légitime, par exemple un certificat serveur web, laisse le demandeur choisir l’identité inscrite dans le certificat.

Si ce même modèle autorise l’authentification client et que tous les utilisateurs du domaine peuvent s’y inscrire, n’importe qui peut demander un certificat au nom d’un administrateur. ESC2 et ESC3 reposent sur la même logique, avec des usages trop larges. ESC4 permet de créer ces situations en modifiant un modèle sain.

La CA et l’infrastructure : ESC5 à ESC7

Ces vulnérabilités touchent l’autorité de certification elle-même. Des droits trop larges sur le serveur de la CA, sur ses objets dans Active Directory ou sur ses rôles d’administration donnent le contrôle de toute la PKI.

Pour ESC6, Microsoft a renforcé la correspondance entre certificats et comptes avec la mise à jour KB5014754. Le mode d’application stricte est devenu la norme en février 2025, et le mode de compatibilité a été supprimé en septembre 2025. L’option EDITF_ATTRIBUTESUBJECTALTNAME2 doit tout de même rester désactivée.

Le relais NTLM : ESC8

L’interface d’inscription web d’AD CS accepte par défaut l’authentification NTLM en HTTP. Un attaquant peut forcer un serveur, par exemple un contrôleur de domaine, à s’authentifier auprès de lui, puis relayer cette authentification vers la CA. Il obtient alors un certificat au nom de ce serveur.

La technique PetitPotam, publiée en 2021, a rendu ce scénario très connu. Si l’inscription web n’est pas utilisée, le plus simple est de la désinstaller.

Auditer sa PKI : par où commencer

1. Faire l’inventaire. Listez vos autorités de certification et les modèles publiés sur chacune, par exemple avec certutil -CATemplates. Chaque modèle publié doit avoir un usage connu et un propriétaire.
2. Utiliser un outil d’audit. PSPKIAudit, publié par SpecterOps avec l’étude, et Locksmith, outil open source, détectent automatiquement la plupart des configurations ESC.
3. Vérifier l’option ESC6. La commande certutil -getreg policy\EditFlags indique si EDITF_ATTRIBUTESUBJECTALTNAME2 est activée.
4. Activer la journalisation de la CA. Surveillez notamment les événements 4886 et 4887 (demandes et émissions de certificats), 4899 et 4900 (modification d’un modèle et de ses droits).

Les mesures de protection essentielles

• Traiter la CA comme un actif Tier 0, au même niveau qu’un contrôleur de domaine, avec une Root CA hors ligne.
• Dépublier tous les modèles de certificats inutilisés.
• N’autoriser « Fournir dans la demande » que lorsque c’est indispensable, et l’associer à une approbation manuelle.
• Limiter les usages (EKU) de chaque modèle au strict nécessaire.
• Restreindre les droits d’inscription et de modification sur les modèles et les objets PKI.
• Confier les rôles d’administration de la CA à un petit groupe dédié.
• Désactiver l’option ESC6 avec certutil -setreg policy\EditFlags -EDITF_ATTRIBUTESUBJECTALTNAME2, puis redémarrer le service de certificats.
• Protéger l’inscription web avec HTTPS et EPA, ou la supprimer.
• Appliquer les mises à jour de sécurité des contrôleurs de domaine.

Au-delà d’ESC8

Depuis 2021, la liste s’est allongée : de nouvelles techniques, numérotées ESC9 et suivantes, ont été publiées par la communauté. Un audit ponctuel ne suffit donc pas : la PKI doit être réévaluée régulièrement, comme le reste d’Active Directory.