Delega non vincolata
La delega Kerberos originale di Windows 2000, in cui un server riceve una copia del ticket dell'utente e può quindi agire a suo nome verso qualsiasi servizio.
Il meccanismo nacque perché un server web potesse recuperare dati da un database a nome dell'utente. Il prezzo è che al server viene inviato l'intero TGT dell'utente, che resta in memoria senza alcun limite sui servizi verso cui può essere usato. Chi compromette una macchina del genere deve solo attendere che una persona privilegiata si autentichi lì e poi estrarre il ticket da LSASS. Si può anche saltare l'attesa: con il printer bug o PetitPotam si costringe un domain controller a collegarsi, e il suo ticket diventa disponibile. Le contromisure sono marcare gli account sensibili come non delegabili, usare il gruppo Protected Users e passare alla delega vincolata.