Silver Ticket

Un Silver Ticket est un ticket de service Kerberos (TGS) forgé à l'aide du hash du mot de passe du compte propre au service ciblé, par exemple un compte d'ordinateur ou un compte de service, plutôt que du compte krbtgt valable pour tout le domaine. Comme le service vérifie les tickets localement avec sa propre clé, le ticket n'a pas besoin d'être validé par un contrôleur de domaine, ce qui permet à un attaquant détenant ce seul hash d'emprunter l'identité de n'importe quel utilisateur auprès de ce service précis.

C'est important, car l'attaque est limitée en portée mais furtive : puisque le service ciblé ne consulte pas le DC, aucune activité d'émission de tickets Kerberos n'apparaît dans les journaux des contrôleurs de domaine, et la détection repose alors sur l'audit au niveau de l'hôte et du service. Les mesures d'atténuation consistent à utiliser des mots de passe de comptes de service et de comptes d'ordinateur robustes, uniques et régulièrement renouvelés, à réduire au minimum les privilèges permanents des comptes de service et à examiner les journaux d'ouverture de session locale et d'accès sur les serveurs à forte valeur.

Voir Durcissement de Kerberos.