S4U2Proxy
L'extension de Kerberos qui met en œuvre la délégation contrainte : un service demande un ticket vers un autre service au nom de l'utilisateur, mais seulement vers les cibles pour lesquelles il a été déclaré.
Le mécanisme existe pour le cas légitime où un serveur web doit récupérer des données dans une base au nom de l'utilisateur, sans que celui-ci s'adresse directement à la base. Le service présente le ticket reçu de l'utilisateur et en demande un second, à destination du service suivant ; le contrôleur de domaine ne l'accorde que si la cible figure dans la liste du service. Sa fonction jumelle, S4U2Self, permet à un service d'obtenir un ticket vers lui-même pour un utilisateur quelconque, afin de pouvoir récupérer les informations d'autorisation de cet utilisateur même lorsqu'il s'est authentifié autrement. C'est la combinaison qui est dangereuse : un ticket pour n'importe quel utilisateur, administrateur compris, injecté ensuite dans la délégation — soit exactement l'étape finale des attaques par délégation basée sur les ressources.