Le Golden Ticket Attack est une cyberattaque sophistiqu\u00e9e qui exploite les faiblesses de l'infrastructure Active Directory de Microsoft. Il permet \u00e0 un attaquant de falsifier des tickets Kerberos, qui sont utilis\u00e9s pour l'authentification au sein des domaines Windows, leur accordant ainsi un acc\u00e8s non autoris\u00e9 \u00e0 un r\u00e9seau. L\u2019attaque a \u00e9t\u00e9 d\u00e9couverte et r\u00e9v\u00e9l\u00e9e publiquement pour la premi\u00e8re fois par le chercheur en s\u00e9curit\u00e9 Benjamin Delpy en 2014. Depuis lors, elle est devenue une pr\u00e9occupation majeure pour les administrateurs informatiques et les organisations du monde entier.<\/p>\n
Les origines de la Golden Ticket Attack remontent \u00e0 la d\u00e9couverte d'une vuln\u00e9rabilit\u00e9 dans l'impl\u00e9mentation Kerberos de Microsoft. Le protocole d'authentification Kerberos est un composant essentiel d'Active Directory, offrant aux utilisateurs un moyen s\u00e9curis\u00e9 de s'authentifier et d'acc\u00e9der aux ressources r\u00e9seau. En 2014, Benjamin Delpy, le cr\u00e9ateur de l'outil \u00ab Mimikatz \u00bb, avait identifi\u00e9 des faiblesses dans la mani\u00e8re d'\u00e9mettre et de valider les tickets Kerberos.<\/p>\n
Delpy a r\u00e9v\u00e9l\u00e9 qu'un attaquant disposant d'un acc\u00e8s administratif \u00e0 un contr\u00f4leur de domaine pourrait exploiter ces vuln\u00e9rabilit\u00e9s pour forger un Golden Ticket. Ce faux ticket pourrait ensuite \u00eatre utilis\u00e9 pour obtenir un acc\u00e8s persistant aux ressources d'une organisation, m\u00eame apr\u00e8s la fermeture du point d'entr\u00e9e initial de l'attaquant.<\/p>\n
Le Golden Ticket Attack tire parti de deux composants principaux de l'infrastructure Active Directory de Microsoft\u00a0: le Ticket Granting Ticket (TGT) et le Key Distribution Center (KDC). Lorsqu'un utilisateur se connecte \u00e0 un domaine Windows, le KDC \u00e9met un TGT, qui sert de preuve de l'identit\u00e9 de l'utilisateur et accorde l'acc\u00e8s \u00e0 diverses ressources sans qu'il soit n\u00e9cessaire de saisir \u00e0 plusieurs reprises les informations d'identification.<\/p>\n
L\u2019attaque Golden Ticket implique les \u00e9tapes suivantes\u00a0:<\/p>\n
Extraction du mat\u00e9riel d'authentification<\/strong>: un attaquant obtient un acc\u00e8s administratif \u00e0 un contr\u00f4leur de domaine et extrait le mat\u00e9riel d'authentification n\u00e9cessaire, y compris la cl\u00e9 secr\u00e8te \u00e0 long terme du KDC, qui est stock\u00e9e en texte brut.<\/p>\n<\/li>\n Forger le ticket d'or<\/strong>: En utilisant le mat\u00e9riel extrait, l'attaquant forge un TGT avec des privil\u00e8ges d'utilisateur arbitraires et une tr\u00e8s longue p\u00e9riode de validit\u00e9, s'\u00e9tendant g\u00e9n\u00e9ralement sur plusieurs d\u00e9cennies.<\/p>\n<\/li>\n Persistance et mouvement lat\u00e9ral<\/strong>: Le faux ticket est ensuite utilis\u00e9 pour obtenir un acc\u00e8s persistant au r\u00e9seau et se d\u00e9placer lat\u00e9ralement entre les syst\u00e8mes, acc\u00e9dant \u00e0 des ressources sensibles et compromettant des comptes suppl\u00e9mentaires.<\/p>\n<\/li>\n<\/ol>\n Pour comprendre la structure interne du Golden Ticket Attack, il est essentiel de comprendre les composants d'un ticket Kerberos\u00a0:<\/p>\n Ent\u00eate<\/strong>: contient des informations sur le type de cryptage, le type de ticket et les options du ticket.<\/p>\n<\/li>\n Informations sur les billets<\/strong>: inclut des d\u00e9tails sur l'identit\u00e9 de l'utilisateur, ses privil\u00e8ges et les services r\u00e9seau auxquels il peut acc\u00e9der.<\/p>\n<\/li>\n Cl\u00e9 de session<\/strong>: Utilis\u00e9 pour chiffrer et signer les messages au sein de la session.<\/p>\n<\/li>\n Informations Compl\u00e9mentaires<\/strong>: Peut inclure l'adresse IP de l'utilisateur, l'heure d'expiration du ticket et d'autres donn\u00e9es pertinentes.<\/p>\n<\/li>\n<\/ol>\n L'attaque Golden Ticket poss\u00e8de plusieurs caract\u00e9ristiques cl\u00e9s qui en font une menace puissante\u00a0:<\/p>\n Persistance<\/strong>: La longue p\u00e9riode de validit\u00e9 du faux ticket permet aux attaquants de maintenir l'acc\u00e8s au r\u00e9seau pendant une dur\u00e9e prolong\u00e9e.<\/p>\n<\/li>\n \u00c9l\u00e9vation de privil\u00e8ge<\/strong>: Les attaquants peuvent \u00e9lever leurs privil\u00e8ges en falsifiant des tickets avec un acc\u00e8s de niveau sup\u00e9rieur, leur accordant ainsi le contr\u00f4le des syst\u00e8mes et des donn\u00e9es critiques.<\/p>\n<\/li>\n Mouvement lat\u00e9ral<\/strong>: Avec un acc\u00e8s persistant, les attaquants peuvent se d\u00e9placer lat\u00e9ralement \u00e0 travers le r\u00e9seau, compromettant des syst\u00e8mes suppl\u00e9mentaires et augmentant leur contr\u00f4le.<\/p>\n<\/li>\n Furtivit\u00e9<\/strong>: L'attaque laisse peu ou pas de trace dans les journaux syst\u00e8me, ce qui la rend difficile \u00e0 d\u00e9tecter.<\/p>\n<\/li>\n<\/ol>\n Il existe deux principaux types d\u2019attaques Golden Ticket\u00a0:<\/p>\n Voler des billets<\/strong>: Cette approche implique le vol du mat\u00e9riel d'authentification, tel que la cl\u00e9 secr\u00e8te \u00e0 long terme du KDC, aupr\u00e8s d'un contr\u00f4leur de domaine.<\/p>\n<\/li>\n Attaque hors ligne<\/strong>: Dans un sc\u00e9nario d'attaque hors ligne, les attaquants n'ont pas besoin de compromettre directement un contr\u00f4leur de domaine. Au lieu de cela, ils peuvent extraire le mat\u00e9riel n\u00e9cessaire \u00e0 partir de sauvegardes ou d'instantan\u00e9s de domaine.<\/p>\n<\/li>\n<\/ol>\n Vous trouverez ci-dessous un tableau comparatif des deux types\u00a0:<\/p>\nLa structure interne de l\u2019attaque Golden Ticket<\/h2>\n
\n
Analyse des principales caract\u00e9ristiques de Golden Ticket Attack<\/h2>\n
\n
Types d\u2019attaques Golden Ticket<\/h2>\n
\n