Golden Ticket

Un Golden Ticket est un Ticket Granting Ticket (TGT) Kerberos forgé, créé dès lors qu'un attaquant a obtenu le hash du mot de passe du compte krbtgt, sur lequel repose toute la confiance Kerberos du domaine. Comme le hash krbtgt permet de signer un TGT pour n'importe quel utilisateur, avec n'importe quel niveau de privilège et n'importe quelle date d'expiration, sa possession permet à un attaquant de fabriquer des jetons d'authentification d'apparence légitime que les contrôleurs de domaine accepteront, sans avoir besoin d'interagir davantage avec un compte légitime.

C'est important, car un Golden Ticket survit aux remédiations ordinaires comme la réinitialisation du mot de passe de comptes individuels, et peut conférer pendant des années un accès administrateur du domaine persistant et quasi indétectable si le hash krbtgt n'est pas renouvelé. La défense principale consiste à protéger le compte krbtgt et son hash de toute exposition (d'où l'importance de la protection contre DCSync), à changer deux fois le mot de passe krbtgt après toute suspicion de compromission et à surveiller les durées de vie de tickets ou les types de chiffrement anormaux.

Voir Durcissement de Kerberos.