S4U2Proxy
Die Kerberos-Erweiterung für eingeschränkte Delegierung: Ein Dienst fordert im Namen des Benutzers ein Ticket für einen anderen Dienst an, aber nur für die Ziele, für die er gelistet ist.
Die Konstruktion existiert für den legitimen Fall, dass ein Webserver Daten aus einer Datenbank als der Benutzer selbst abrufen soll, ohne dass der Benutzer direkt mit der Datenbank spricht. Der Dienst legt das Ticket vor, das er vom Benutzer erhalten hat, und fordert ein weiterführendes Ticket an; der Domänencontroller genehmigt das nur, wenn das Ziel in der Liste des Dienstes steht. Die Schwesterfunktion S4U2Self erlaubt einem Dienst, für einen beliebigen Benutzer ein Ticket auf sich selbst zu erhalten — gedacht dafür, an die Berechtigungsdaten des Benutzers zu kommen, auch wenn die Anmeldung anders erfolgt ist. Gefährlich wird es erst in der Kombination: ein Ticket für einen beliebigen Benutzer, den Administrator eingeschlossen, das anschließend in die Delegierung eingespeist wird — genau der letzte Schritt bei ressourcenbasierten Delegierungsangriffen.