C'est depuis combien de temps les modèles de certificats par défaut de votre installation ADCS sont figés au schéma V1. User, Computer, WebServer, Smartcard Logon, Domain Controller, la plupart d'entre eux. Conçus pour Windows 2000, jamais changés depuis, et impossibles à modifier. Permissions, EKU, options cryptographiques, tout est verrouillé.

Petit rappel de la chronologie des versions :

  • V1 — Windows 2000 / Server 2003 Standard
  • V2 — Windows Server 2003 Enterprise (modifiable, mais crypto encore legacy)
  • V3 — Windows Server 2008 (CNG, SHA-2, ECC)
  • V4 — Windows Server 2012 (attestation de clé, renouvellement avec la même clé)

Dans une vraie forêt ADCS, la console Modèles de certificats rend la chose concrète : comptez les versions de schéma sur les modèles publiés. La majorité de ce qui est livré par défaut est encore au schéma V1 — inchangé depuis Windows 2000. Le PDF téléchargeable ci-dessus contient une capture d'écran tirée d'un environnement réel.

Quand les gens de la sécurité disent « n'utilisez pas les modèles par défaut », ce n'est pas une question de style. Le schéma lui-même est le problème. ESC15, l'attaque EKUwu, fonctionne précisément parce que les modèles V1 n'ont pas les protections que les versions plus récentes imposent. Un certificat WebServer devient un certificat d'authentification client avec rien de plus que des droits d'inscription. Le modèle ne peut pas se défendre, parce que le schéma V1 n'a pas le champ que les versions plus récentes utilisent pour bloquer ça.

La solution n'est pas compliquée. Dupliquer. V4 idéalement, V3 au minimum. Puis durcir le duplicata.

Les modèles par défaut ont toujours été un point de départ. Jamais une destination.

Alors, à quand remonte la dernière fois où vous avez vraiment vérifié quels modèles par défaut sont encore publiés sur vos AC?

Du terrain

La plupart des environnements publient encore au moins trois ou quatre modèles par défaut. Habituellement User, Computer, Web Server, et Workstation Authentication. Parfois Domain Controller. Toujours pour une « raison » que personne dans l'équipe actuelle ne se rappelle.

Le motif est tellement constant qu'on en fait un item de liste de vérification dès le démarrage de chaque évaluation PKI. Personne ne les publie volontairement. Ils n'ont juste jamais été nettoyés.