Validation du PAC PAC validation
Un ticket Kerberos prouve qui vous êtes ; le PAC qu'il contient déclare ce que vous avez le droit de faire. La validation vérifie que cette partie provient bel et bien d'un contrôleur de domaine.
Le Privilege Attribute Certificate est l'ajout de Microsoft à l'intérieur du ticket et transporte les identifiants et les appartenances de groupes de l'utilisateur. C'est lui, plutôt que le ticket, qui détermine l'autorisation, ce qui en fait la cible intéressante : modifiez-le et vous devenez administrateur sans jamais toucher à un groupe. La structure est signée à la fois avec la clé du service et celle du contrôleur de domaine, et la validation consiste, pour le service, à demander à un contrôleur de domaine si cette dernière signature est correcte. Historiquement, elle était facultative et souvent désactivée pour des raisons de performances, ce qui explique précisément pourquoi les Silver Tickets fonctionnent. Les correctifs autour de 2021 et les nouvelles exigences de signature de fin 2022 étaient la manière dont Microsoft a fermé cette porte, et le déploiement a été notoirement pénible.