https://brkrops.ca/blog/fr/ Articles techniques de fond — ADCS, PKI, identité et Windows Server. fr-CA Thu, 06 Aug 2026 00:00:00 +0000 BrkrOps Inc. https://brkrops.ca/blog/the-garage-didnt-burn-down/fr/ https://brkrops.ca/blog/the-garage-didnt-burn-down/fr/ Thu, 06 Aug 2026 00:00:00 +0000 43 Domain Admins, chacun certain que son coin est séparé. Sept d'entre eux, enchaînés une délégation à la fois, suffisent à posséder la forêt. https://brkrops.ca/blog/the-registration-authority-makes-the-certificate/fr/ https://brkrops.ca/blog/the-registration-authority-makes-the-certificate/fr/ Tue, 04 Aug 2026 00:00:00 +0000 NDES signe tout ce qu'on lui demande. Local admin plus un modèle faible, et ça devient des certificats domain admin émis par votre propre AC. https://brkrops.ca/blog/the-certificates-that-break-wifi/fr/ https://brkrops.ca/blog/the-certificates-that-break-wifi/fr/ Sun, 02 Aug 2026 00:00:00 +0000 NDES détient deux certificats de service qui ne se renouvellent pas seuls. Quand ils expirent, l'inscription SCEP s'arrête et le WiFi tombe. La correction. https://brkrops.ca/blog/code-signing/fr/ https://brkrops.ca/blog/code-signing/fr/ Tue, 28 Jul 2026 00:00:00 +0000 Un certificat de signature de code sur le laptop d'un développeur — pas de HSM, pas d'audit — signe une backdoor approuvée par Windows. C'est du Tier 0. https://brkrops.ca/blog/the-model-has-no-answer/fr/ https://brkrops.ca/blog/the-model-has-no-answer/fr/ Thu, 23 Jul 2026 00:00:00 +0000 Un attaquant passe d'une workstation Tier 2 à toute la forêt via SCCM. Le modèle classe SCCM, Intune et la sauvegarde Tier 1 — chacun détient Tier 0. https://brkrops.ca/blog/the-notary-cannot-carry-the-seal/fr/ https://brkrops.ca/blog/the-notary-cannot-carry-the-seal/fr/ Tue, 21 Jul 2026 00:00:00 +0000 Une AC adossée à un HSM peut réussir toutes les vérifications et être incapable de publier une LCR : sa clé de signature est au bout du réseau. https://brkrops.ca/blog/two-writes/fr/ https://brkrops.ca/blog/two-writes/fr/ Thu, 16 Jul 2026 00:00:00 +0000 Deux choses s'appellent écriture sur un modèle de certificat : l'ACL, et le paramètre Fourni dans la demande. Les confondre ouvre un chemin vers DA. https://brkrops.ca/blog/cloud-pki-is-free/fr/ https://brkrops.ca/blog/cloud-pki-is-free/fr/ Fri, 10 Jul 2026 00:00:00 +0000 Intune Cloud PKI est inclus dans Microsoft 365 E5 — mais presque aucune entreprise n'est à 100 % E5. Un TCO sur cinq ans contre ADCS, et ses angles morts. https://brkrops.ca/blog/the-companies-i-wont-give-my-data-to/fr/ https://brkrops.ca/blog/the-companies-i-wont-give-my-data-to/fr/ Mon, 06 Jul 2026 00:00:00 +0000 Douze ans à bâtir l'infrastructure de certificats d'hôpitaux, de banques et de corps policiers m'ont appris qui accepte un risque connu et réparable. https://brkrops.ca/blog/the-locked-door/fr/ https://brkrops.ca/blog/the-locked-door/fr/ Tue, 30 Jun 2026 00:00:00 +0000 Votre modèle User, un agent de récupération de clé oublié et un utilisateur hameçonné suffisent à verrouiller vos fichiers sans déchiffrement. https://brkrops.ca/blog/your-backup-is-the-breach/fr/ https://brkrops.ca/blog/your-backup-is-the-breach/fr/ Tue, 23 Jun 2026 00:00:00 +0000 Pourquoi sauvegarder vos systèmes Tier 0 comme des serveurs de fichiers livre la clé privée de votre AC — et comment sauvegarder DC et AC sans risque. https://brkrops.ca/blog/validityperiodunits/fr/ https://brkrops.ca/blog/validityperiodunits/fr/ Sat, 20 Jun 2026 00:00:00 +0000 Pourquoi une racine bâtie avec CAPolicy.inf émet des certificats subordonnés d'un an quoi que vous tapiez — et le plafond qui le contrôle vraiment. https://brkrops.ca/blog/come-back-to-cdp/fr/ https://brkrops.ca/blog/come-back-to-cdp/fr/ Thu, 18 Jun 2026 00:00:00 +0000 Pourquoi votre point de distribution de la CRL n'a pas sa place sur l'AC, et probablement pas non plus dans LDAP. https://brkrops.ca/blog/reading-ad-certificate-template-attributes/fr/ https://brkrops.ca/blog/reading-ad-certificate-template-attributes/fr/ Wed, 17 Jun 2026 00:00:00 +0000 Guide de terrain des attributs derrière un export certutil -dsTemplate : ce que fait chacun, et lesquels vous pouvez réellement modifier. https://brkrops.ca/blog/nac-with-x509/fr/ https://brkrops.ca/blog/nac-with-x509/fr/ Mon, 15 Jun 2026 00:00:00 +0000 Ce que le 802.1X avec EAP-TLS vous apporte vraiment, où les exceptions s'infiltrent, et pourquoi le NAC est un projet de PKI — pas un projet réseau. https://brkrops.ca/blog/certificate-templates-live-in-active-directory/fr/ https://brkrops.ca/blog/certificate-templates-live-in-active-directory/fr/ Sat, 13 Jun 2026 00:00:00 +0000 Où vivent vraiment les modèles de certificats, et ce que ça veut dire pour durcir votre PKI. https://brkrops.ca/blog/a-ca-is-a-ca/fr/ https://brkrops.ca/blog/a-ca-is-a-ca/fr/ Fri, 12 Jun 2026 00:00:00 +0000 Pourquoi votre Autorité de Certification ne devrait faire qu'une seule chose, et ce qu'il faut en garder à l'écart. https://brkrops.ca/blog/replace-a-default-certificate-template/fr/ https://brkrops.ca/blog/replace-a-default-certificate-template/fr/ Sun, 07 Jun 2026 00:00:00 +0000 Comment remplacer un modèle de certificat par défaut, en trois étapes. https://brkrops.ca/blog/twenty-five-years-default-templates/fr/ https://brkrops.ca/blog/twenty-five-years-default-templates/fr/ Sat, 06 Jun 2026 00:00:00 +0000 Pourquoi les modèles de certificats par défaut de chaque installation ADCS sont à l'origine de la plupart des constats ESC.