Protección de los servicios de certificados de Active Directory (AD CS): sugerencias de configuración y administración

Servicios de certificados de Active Directory (AD CS) es un componente de Microsoft Windows Server que proporciona infraestructura de clave pública (PKI) personalizada y servicios de autenticación basados en certificados. Permite a las empresas personalizar y emitir certificados digitales para clientes, servidores y otros dispositivos en la red.

AD CS automatiza el proceso de gestión del ciclo de vida de los certificados, incluida la emisión, renovación y revocación de certificados digitales. También permite a las empresas definir sus propias políticas de certificados y plantillas de certificados para fines específicos, lo que puede mejorar significativamente la seguridad de la red. Con AD CS, las empresas pueden operar una infraestructura de clave pública segura que les permite proteger datos confidenciales en su red.

La gestión de AD CS requiere un alto nivel de experiencia técnica y la documentación es escasa. Como resultado, AD CS frecuentemente se configura incorrectamente. Por esta razón (y otras), estamos viendo un aumento en la cantidad de vectores de ataque dirigidos a AD CS.

Consejos para la configuración de los servicios de certificados de Active Directory

Siempre que una identidad obtiene un certificado basado en autenticación, le permite autenticarse como la entidad especificada en el Nombre alternativo del sujeto (SAN), generalmente identificado por un nombre UPN o DNS. Este certificado se utiliza en lugar de una contraseña para la autenticación inicial y permanece válido hasta su vencimiento o revocación. En consecuencia, las estrategias de seguridad que buscan frustrar a los actores maliciosos restableciendo una contraseña serían infructuosas, ya que un atacante que posea un certificado basado en autenticación aún tendría acceso persistente a la cuenta a menos que el certificado también fuera revocado.

A continuación se detallan algunas de las configuraciones de plantilla de certificado más comunes que pueden provocar configuraciones incorrectas de AD CS.

EKU basados en autenticación

Es fundamental identificar los usos de claves mejorados (EKU) que admiten la autenticación a nivel de dominio. Ejemplos de EKU que ofrecen esta función incluyen:

Cualquier Propósito (2.5.29.37.0)
SubCA (Ninguno)
Autenticación de cliente (1.3.6.1.5.5.7.3.2)
Autenticación de cliente PKINIT (1.3.6.1.5.2.3.4)
Inicio de sesión con tarjeta inteligente (1.3.6.1.4.1.311.20.2.2)

Una forma de ubicar las plantillas de certificado que habilitan esta función es accediendo al complemento MMC de la autoridad de certificación, conectándose a la autoridad de certificación y escaneando la columna de propósito previsto en busca de cualquiera de estos EKU de autenticación. Tenga en cuenta que aún así se puede hacer un mal uso de los certificados normales. Por ejemplo, la capacidad Get-SmartCardCertificate de PoshADCS puede manipular una plantilla, solicitar certificados y luego restaurar la plantilla a su estado original.

Bandera “Asunto de suministros del afiliado”

Si el indicador CT_FLAG_ENROLLEE_SUPPLIES_SUBJECT se encuentra en el atributo mspki-certificate-name-flag, el inscrito en el certificado puede proporcionar un nombre de sujeto alternativo al solicitar el certificado. Esto significa que cualquier usuario autorizado puede solicitar un certificado en nombre de cualquier otro usuario de la red, incluso si es un usuario privilegiado. Para verificar este indicador, puede consultar la consola de Plantilla de certificado y seleccionar la opción de opción "Suministrar en la solicitud" en la pestaña Nombre del sujeto. Alternativamente, puede usar un comando de PowerShell para recuperar plantillas de AD y verificar si el indicador está configurado para el certificado. Para gestionar la emisión de certificados, considere utilizar las opciones recomendadas además de corregir cualquier configuración incorrecta.

Aprobación de CA Certificate Manager o firmas autorizadas

Es importante consultar la pestaña Requisitos de emisión de cada certificado para determinar si requiere autorización del administrador de la Autoridad de certificación (CA). La implementación de una o ambas configuraciones puede reducir significativamente la probabilidad de riesgos al exigir la verificación antes de la emisión del certificado. Incluso si no está seguro de la necesidad de firmas aprobadas, es recomendable solicitar la aprobación del administrador de certificados de CA. Esto garantizará que cada vez que se solicite un certificado, se someta a una revisión manual por parte de la Autoridad de certificación antes de ser emitido.

Permisos de inscripción

Examine los permisos de inscripción incluidos en cada plantilla, que se encuentran en la pestaña Seguridad. Las configuraciones incorrectas pueden ser muy problemáticas si permiten que grupos grandes (con principios genéricos) utilicen estos permisos. Es esencial buscar grupos como Usuarios autenticados, Usuarios de dominio o cualquier grupo grande de usuarios que no deberían tener la capacidad de solicitar certificados. Si se identifican dichos grupos, se recomienda revocar sus permisos de inscripción o inscripción automática.

EDITF_ATTRIBUTESUBJECTALTNAME2 Clave de registro

Examine la entrada del registro EDITF_ATTRIBUTESUBJECALTNAME2. Esta configuración particular es notable porque, cuando se activa en la CA, permite agregar datos personalizados definidos por el usuario a la SAN de cualquier certificado autenticado que se emita (incluso certificados con asuntos que se generan automáticamente desde Active Directory).

Comprobación de configuraciones riesgosas mediante PSPKIAudit

Para auditar su infraestructura PKI, utilice la herramienta PSPKIAudit. Puede obtener la herramienta de GitHub e importar el módulo para usar. Ejecute el comando Invoke-PKIAudit para enumerar la autoridad de certificación de Active Directory y luego consulte las opciones predeterminadas.

Conclusión

Es muy probable que veamos un aumento en el número de ataques a los Servicios de certificados de Active Directory. En consecuencia, es fundamental examinar inmediata y periódicamente la configuración para detectar errores de configuración y rectificarlos sin demora. Además, al seguir las mejores prácticas de gestión de certificados, como mantener una jerarquía PKI eficiente, implementar protocolos de autenticación seguros y monitorear el entorno en busca de amenazas, puede mitigar los posibles riesgos de seguridad y evitar el acceso no autorizado a sus sistemas.

Si desea ver cómo la plataforma Lepide Data Security puede ayudarlo a monitorear los cambios de configuración de AD CS para evitar violaciones de seguridad dañinas, programe una demostración con uno de nuestros ingenieros o comience su prueba gratuita hoy.