ADCS ESC1
Un modèle de certificat mal configuré qui permet à n'importe quel utilisateur de demander un certificat émis au nom de l'administrateur du domaine. Prise de contrôle du domaine en une minute environ.
Quatre propriétés d'un modèle doivent coïncider : il laisse le demandeur fournir lui-même le subject alternative name, il porte un usage étendu de la clé compatible avec l'authentification client, il est ouvert à l'inscription pour des groupes peu privilégiés, et il n'exige l'approbation d'aucun gestionnaire. Quand les quatre sont réunies, un utilisateur ordinaire peut demander un certificat affirmant que son titulaire est quelqu'un d'autre, puis se connecter sous cette identité via PKINIT. Le certificat reste en outre valide pendant des années et ne bouge pas quand le mot de passe change, ce qui en fait un point d'appui durable. Cette voie d'attaque a été cataloguée dans l'article Certified Pre-Owned de SpecterOps (2021), qui l'a numérotée ESC1 sur une douzaine environ.