Shadow Credentials
Een eigen sleutel toevoegen aan het attribuut voor wachtwoordloos inloggen van een account en daarna als dat account inloggen. Discreter dan iemands wachtwoord resetten.
Het attribuut msDS-KeyCredentialLink bestaat voor Windows Hello for Business en bevat de publieke sleutels die zich als het object mogen authenticeren. Wie schrijfrechten erop heeft — vaak het gevolg van een verkeerd ingestelde ACL met GenericWrite of GenericAll — kan er dus een zelfgemaakt certificaat aan toevoegen en vervolgens via PKINIT inloggen. Als bonus levert de PAC in het ticket de NTLM-hash van het account op. Elad Shamir publiceerde de techniek in 2021. Het voordeel ten opzichte van een directe wachtwoordreset is dat het account voor de echte gebruiker gewoon blijft werken en dat de wijziging ongedaan te maken is. Het domein moet wel een werkende PKI hebben.