Certificate Services & PKI (AD CS)
Ein Certificate Template heißt harmlos, ist seit Jahren im Einsatz und wurde nie geändert. Es erlaubt breite Beantragung, lässt den Antragsteller den Namen im Zertifikat selbst mitliefern, trägt einen Anmelde-Verwendungszweck und verlangt keine Freigabe. Jede dieser vier Eigenschaften ist für sich vertretbar — zusammen ergeben sie eine Vollmacht, sich als beliebige Identität auszuweisen. Dieses Modul behandelt die AD-PKI aus Verteidigersicht: die ausstellende CA als Tier-0-Vertrauensanker, die zweistufige Hierarchie, Templates als Blaupause der Ausstellung, den Verwendungszweck als eigentliche Vollmacht, die Herkunft des Namens im Zertifikat, warum namensbasierte Zuordnungen dokumentiert als schwach gelten — und was Widerruf leistet, wenn der CA-Schlüssel selbst abhandenkommt: nichts.
Fortgeschritten · ~35 Min · 11 Abschnitte Einführung · 15 Übungen (davon 1 Mission)
Modul starten →
Fortschritt wird gespeichert — du kannst das Modul später jederzeit fortsetzen.
Das kannst du danach
- ✓Ein Certificate Template anhand von vier Eigenschaften daraufhin beurteilen, ob es zur Identitätsübernahme taugt.
- ✓Härtungsmaßnahmen nach ihrer Wirkung priorisieren statt nach Aufwand — und die bereits ausgestellten Zertifikate mitdenken.
- ✓Widerruf realistisch einplanen: was er wann bewirkt und wann er wirkungslos ist.
Übungen
- 1. EntscheidungWie ordnest du die Kritikalität der Enterprise-CA ein?
- 2. EntscheidungWie erklärst du die Bedeutung der EKU?
- 3. EntscheidungWelches Hierarchie-Design ist für diese Umgebung angemessen?
- 4. EntscheidungWie härtest du am direktesten?
- 5. EntscheidungStimmt die Aussage „ab sofort tot“?
- 6. EntscheidungWelche EKU-Entscheidung ist richtig?
- 7. EntscheidungWie bewertest du das Vorgehen?
- 8. EntscheidungWie stufst du dieses Write-Recht ein?
- 9. EntscheidungWie entscheidest du über die Herkunft von Subject/SAN?
- 10. EntscheidungWas ist die wahrscheinlichste Ursache und die richtige Sicht darauf?
- 11. EntscheidungWomit beginnst du?
- 12. MissionTemplate-Audit: welche Zeilen ergeben zusammen ESC1?
- 13. EntscheidungWelche Maßnahme adressiert die ESC8-Klasse an der Ursache?
- 14. EntscheidungWie entscheidest du über den Schutz des privaten CA-Schlüssels?
- 15. EntscheidungWelche Reaktion ist dem Blast-Radius angemessen?
Quellen & Aktualität37 Primärquellen · zuletzt geprüft:
- 01Microsoft Learn — Active Directory Certificate Services (AD CS) Overview / Design (Two-Tier-Hierarchie, Offline-Root)
- 02Microsoft Learn — Certificate Templates: Berechtigungen (Enroll/Autoenroll) und Subject-Name-Optionen
- 03Microsoft Learn — NTAuth-Store und zertifikatbasierte Anmeldung (PKINIT/Smartcard)
- 04SpecterOps — „Certified Pre-Owned: Abusing Active Directory Certificate Services“ (Schroeder/Christensen): ESC1- und ESC8-Fehlkonfigurationsklassen
- 05Microsoft Learn — Extended Protection for Authentication (Channel Binding) für Web Enrollment / CES
- 06support.microsoft.com/en-us/topic/kb5014754-ce…40-a468-4d4f3b188f16
- 07learn.microsoft.com/en-us/windows-server/ident…ing-active-directory
- 08Microsoft Learn — NTAuth-Store und zertifikatbasierte Anmeldung
- 09SpecterOps — „Certified Pre-Owned: Abusing Active Directory Certificate Services“ (CA als Tier-0)
- 10Microsoft Learn — Extended Key Usage und zertifikatbasierte Anmeldung
- 11SpecterOps — „Certified Pre-Owned“: Authentifizierungs-EKUs als Voraussetzung der Template-Eskalation
- 12Microsoft Learn — AD CS Design: Two-Tier-Hierarchie und Offline-Root-CA
- 13Microsoft Learn — Standalone- vs. Enterprise-CA
- 14Microsoft Learn — Certificate Templates auf einer Enterprise-CA veröffentlichen und entfernen (Ausstellungsfläche verwalten)
- 15SpecterOps — „Certified Pre-Owned“: Reduktion der ESC-Angriffsfläche (ungenutzte bzw. gefährliche Templates entfernen)
- 16Microsoft Learn — Certificate Revocation: CRL-Veröffentlichung, Gültigkeitsdauer und manuelles Publizieren
- 17Microsoft Learn — OCSP-Responder und Abhängigkeit von der CRL
- 18Microsoft Learn — Certificate Templates: Application Policies / Extended Key Usage
- 19SpecterOps — „Certified Pre-Owned“: Any-Purpose- und fehlende EKUs als Auth-Vektor
- 20Microsoft Learn — Certificate Templates: Enroll- und Autoenroll-Berechtigungen; Autoenrollment per Gruppenrichtlinie
- 21SpecterOps — „Certified Pre-Owned“: Enrollment-Rechte als Voraussetzung von Template-Eskalationen
- 22Microsoft Learn — Certificate Templates: Berechtigungen auf dem Template-Objekt (Write/FullControl)
- 23SpecterOps — „Certified Pre-Owned“: Kontrolle über Template-Objekte als Eskalationsklasse
- 24Microsoft Learn — Certificate Templates: Subject Name („Build from AD“ vs. „Supply in the request“ / ENROLLEE_SUPPLIES_SUBJECT)
- 25SpecterOps — „Certified Pre-Owned“: ESC1 (antragstellergelieferter SAN auf Auth-Template)
- 26Microsoft Learn — CRL Distribution Points (CDP), OCSP und Revocation-Prüfung
- 27Microsoft Learn — AD CS: Verfügbarkeit der Revocation-Infrastruktur planen
- 28SpecterOps — „Certified Pre-Owned“: Priorisierung der ESC-Klassen nach Ausnutzbarkeit
- 29Microsoft Learn — AD CS Sicherheits- und Härtungsempfehlungen
- 30SpecterOps — „Certified Pre-Owned: Abusing Active Directory Certificate Services“: ESC1-Bedingungen
- 31Microsoft Learn — Certificate Templates: Subject Name, Issuance Requirements und Berechtigungen
- 32SpecterOps — „Certified Pre-Owned“: ESC8 (NTLM-Relay auf AD-CS-Web-Enrollment)
- 33Microsoft Learn — Extended Protection for Authentication (Channel Binding) und Mitigation von NTLM-Relay auf HTTP-Endpunkte
- 34Microsoft Learn — CA-Schlüsselspeicher: KSP, HSM und Schutz des privaten Schlüssels
- 35SpecterOps — „Certified Pre-Owned“: Diebstahl des CA-Schlüssels („Golden Certificate“) als Blast-Radius
- 36SpecterOps — „Certified Pre-Owned“: Kompromittierung des CA-Schlüssels und Golden Certificate
- 37Microsoft Learn — AD CS: Wiederherstellung/Ersatz einer kompromittierten CA und Vertrauensverwaltung
Verfasst von Julian Zentgraf