¿Riesgo de seguridad de los Servicios de Certificate Server de Microsoft AD?

Certificate Services es una CA configurable que funciona con el concepto de certificado plantillas . Una plantilla describe un tipo de certificado que la CA puede emitir, en qué condiciones y con qué contenidos. Si pudiera obtener un certificado de CS, esto significa que solicitó el certificado para una plantilla para la cual se le permitió solicitar un certificado.

Lo que importa, sin embargo, es lo que está en el certificado resultante. Los invito a echar un vistazo a los contenidos del certificado (con openssl x509 -text ). Puede agregar muchas cosas en la solicitud del certificado, pero, en última instancia, la plantilla determina lo que aparece en el propio certificado. Posiblemente, el nombre de la máquina que solicitó ( proxy-server.local.domain ) no aparece realmente en el certificado, o no donde un cliente SSL lo buscaría. Un cliente SSL requiere que el nombre del servidor (de la URL) aparezca en la extensión Subject Alt Name como dNSName ; sin una extensión SAN, el cliente usará la parte CN del DN del sujeto (esto se describe en RFC 2818 ).

Si de hecho pudiera obtener un certificado que, desde el punto de vista de un cliente SSL, sería un certificado de servidor SSL válido para un servidor cuyo nombre elija, entonces sí, se puede decir que hay un certificado de seguridad. Problema que se debe solucionar. El administrador del sistema debe revisar las plantillas activadas en la CA y sus derechos de acceso.

El principal riesgo de seguridad para una CA (cualquier CA) es la falta de una administración del sistema adecuada.

Como mencionó Tom, Windows Certificate Services se basa en plantillas de certificados para determinar los tipos de certificados que puede emitir. Esas plantillas de certificado son en realidad objetos de AD y tienen permisos que puede cambiar para permitir o negar a los grupos de AD que las soliciten. Entonces, parece que los administradores de su empresa pueden necesitar restringir los permisos si no se desean casos de inscripción como el suyo.

Además, los administradores pueden restringir el acceso a la interfaz web de CA, limitando la inscripción normal de usuarios solo a la función del asistente de Solicitud de certificado (también conocida como Inscripción de certificado). No soy positivo, pero creo que las CSR solo pueden enviarse a través de la interfaz web. Por lo tanto, la eliminación de esta funcionalidad puede limitar aún más la capacidad de solicitar certificados falsificados.

También debería poder solicitar la aprobación del administrador de certificados para los CSR enviados, lo que le da tiempo a los administradores para verificar que contienen datos legítimos antes de aprobarlos. Las funciones del administrador de certificados deben limitarse al personal autorizado que esté familiarizado con los riesgos.

Cuando se solicitan certificados SSL a través de la función Solicitud de certificado (y no a través de la interfaz web), AD puede autenticar firmemente que son el servidor que dicen ser, al menos en lo que respecta a DNS de Windows. Es posible activar Nombres alternativos del sujeto dentro de las solicitudes de certificado y eso es riesgoso, ya que permitiría a los usuarios autorizados falsificar nombres de servidores. Usted o sus administradores pueden leer más sobre esto en este Artículo de Microsoft .

He visto que muchas organizaciones no toman los Servicios de Certificate Server lo suficientemente en serio. Esto es desafortunado porque, como usted menciona, cualquier cliente de AD confiará en cualquier certificado que emita. Es importante que los administradores conozcan la funcionalidad y los riesgos para que puedan bloquear la funcionalidad del certificado de manera adecuada.