Проверка PAC
Билет Kerberos доказывает, кто вы; PAC внутри него утверждает, что вам разрешено. Проверка подтверждает, что эта часть действительно пришла от контроллера домена.
Privilege Attribute Certificate — добавка Microsoft внутри билета, содержащая идентификаторы пользователя и членство в группах. Авторизацию определяет именно она, а не сам билет, поэтому она и является интересной целью: измените её — и станете администратором, не тронув ни одной группы. Структура подписана и ключом сервиса, и ключом контроллера домена, а проверка означает, что сервис спрашивает у контроллера, верна ли вторая подпись. Исторически она была необязательной и часто отключалась ради производительности — именно поэтому работают Silver Ticket. Исправления около 2021 года и новые требования к подписи с конца 2022-го — это Microsoft закрывала лазейку, причём внедрение было печально известно проблемами.