Golden Ticket

Ein Golden Ticket ist ein gefälschtes Kerberos-Ticket-Granting-Ticket (TGT), das ein Angreifer erstellt, sobald er den Kennwort-Hash des Kontos krbtgt erlangt hat, auf dem das gesamte Kerberos-Vertrauen der Domäne beruht. Da sich mit dem krbtgt-Hash ein TGT für jeden Benutzer, jede Berechtigungsstufe und jedes Ablaufdatum signieren lässt, kann ein Angreifer damit gültig erscheinende Authentifizierungstoken erzeugen, die Domänencontroller akzeptieren, ohne dass ein weiterer Kontakt zu einem legitimen Konto nötig ist.

Das ist relevant, weil ein Golden Ticket gewöhnliche Bereinigungsmaßnahmen wie das Zurücksetzen der Kennwörter einzelner Konten übersteht und – wenn der krbtgt-Hash nicht gewechselt wird – über Jahre hinweg dauerhaften, nahezu unentdeckbaren Domänenadministratorzugriff gewähren kann. Die wichtigste Verteidigung besteht darin, das Konto krbtgt und seinen Hash vor Offenlegung zu schützen (deshalb ist der Schutz vor DCSync so wichtig), das krbtgt-Kennwort nach jedem Kompromittierungsverdacht zweimal zurückzusetzen und auf ungewöhnliche Ticketlebensdauern oder Verschlüsselungstypen zu überwachen.

Siehe Kerberos-Härtung.