octobre 2022 – Uwe Gradenegger

Archivage ultérieur des clés privées

Un aspect important ici est que les clés privées des utilisateurs doivent être sécurisées de manière centralisée, contrairement aux certificats de signature qui sont par ailleurs le plus souvent utilisés. Les messages entrants sont cryptés pour une clé privée spécifique et ne peuvent être décryptées que par ce dernier. Il est donc impératif de disposer d'une sauvegarde de ces clés - y compris pour les Synchronisation sur les terminaux mobiles cela est indispensable. Pour cela, les Microsoft Active Directory Certificate Services offrent la fonction de Archivage des clés privées (angl. Private Key Archival).

Mais que se passe-t-il si l'archivage des clés privées n'a pas été mis en place et que les utilisateurs ont déjà demandé les certificats correspondants ?

Continuer la lecture

Demande de certificats pour les terminaux gérés par Microsoft Intune

Dans un monde en réseau, travailler de n'importe où est devenu la norme, et travailler avec des terminaux mobiles tels que des smartphones ou des tablettes en plus des ordinateurs de bureau classiques. Ces terminaux sont généralement connectés au moyen de Gestion des dispositifs mobiles (MDM) systèmes comme Microsoft Intune.

Pour accéder aux ressources de l'entreprise, les utilisateurs de terminaux mobiles ont généralement besoin de certificats numériques pour prouver leur identité. Il est donc nécessaire de mettre à disposition de ces appareils une interface automatisable et néanmoins sécurisée pour la demande de ces certificats.

Continuer la lecture

Transférer des certificats S/MIME vers Microsoft Intune

Dans un monde moderne en réseau, la transmission confidentielle de messages dans l'environnement de l'entreprise est essentielle pour le succès commercial. Malgré leur Âge l'e-mail reste un élément incontournable de la communication d'entreprise moderne. Son utilisation a toutefois considérablement évolué au fil des décennies.

De nos jours, il est courant de pouvoir lire et écrire des e-mails professionnels sur des terminaux mobiles tels que les smartphones et les tablettes. Ces terminaux sont généralement connectés au moyen de Gestion des dispositifs mobiles (MDM) systèmes comme Microsoft Intune.

Für die Verschlüsselung von E-Mail Nachrichten verwenden Unternehmen üblicherweise den Extensions de messages Internet sécurisés / polyvalents (S/MIME) et mettent à la disposition de leurs utilisateurs les certificats correspondants. Comment ces certificats peuvent-ils être installés de manière évolutive sur les terminaux des utilisateurs ?

Continuer la lecture

Signer des certificats en contournant l'autorité de certification - uniquement avec les moyens du bord

Dans l'article "Signer des certificats en contournant l'autorité de certificationJ'ai décrit dans l'article "Comment un attaquant en possession de droits administratifs sur l'autorité de certification peut générer un certificat d'inscription pour des comptes administratifs du domaine en contournant le logiciel de l'autorité de certification, c'est-à-dire en utilisant directement la clé privée de l'autorité de certification.

Dans l'article précédent, j'ai présenté le PSCertificateEnrollment Module Powershell pour illustrer la procédure. Microsoft fournit avec certreq et certutil Le système d'exploitation de l'entreprise est livré avec des outils de pentesting parfaitement adaptés.

Continuer la lecture

Détails de l'événement avec ID 41 de la source Microsoft-Windows-Kerberos-Key-Distribution-Center

Source de l'événement :	Centre de distribution de clés Microsoft-Windows-Kerberos
ID de l'événement :	41 (0x80000029)
Journal des événements :	Système
Type d'événement :	Avertissement ou erreur
Texte de l'événement (en anglais) :	Le Centre de distribution de clés (KDC) a rencontré un certificat d'utilisateur qui était valide mais qui contenait un SID différent de celui de l'utilisateur auquel il était associé. En conséquence, la demande impliquant le certificat a échoué. Voir https://go.microsoft.com/fwlink/?linkid=2189925 pour en savoir plus. Utilisateur : %1 SID utilisateur : %2 Sujet du certificat : %3 Émetteur du certificat : %4 Numéro de série du certificat : %5 Empreinte du certificat : %6 SID du certificat : %7
Texte de l'événement (en allemand) :	Le Centre de distribution de clés (KDC, Key Distribution Center) a trouvé un certificat d'utilisateur valide, mais celui-ci contenait un SID différent de celui de l'utilisateur auquel il est associé. En conséquence, une erreur s'est produite lors de la requête concernant le certificat. Pour plus d'informations, consultez le site https://go.microsoft.com/fwlink/?linkid=2189925. Utilisateur : %1 SID utilisateur : %2 Demandeur de certificat : %3 Émetteur de certificat : %4 Numéro de série du certificat : %5 Empreinte du certificat : %6 SID du certificat : %7

Continuer la lecture

Détails de l'événement avec ID 40 de la source Microsoft-Windows-Kerberos-Key-Distribution-Center

Source de l'événement :	Centre de distribution de clés Microsoft-Windows-Kerberos
ID de l'événement :	40 (0x80000028)
Journal des événements :	Système
Type d'événement :	Avertissement ou erreur
Texte de l'événement (en anglais) :	Le Centre de distribution de clés (KDC, Key Distribution Center) a rencontré un certificat d'utilisateur qui était valide mais qui ne pouvait pas être mappé à un utilisateur de manière sécurisée (par exemple via un mappage explicite, un mappage de confiance de clé ou un SID). Le certificat prédisait également l'utilisateur auquel il était associé, il a donc été rejeté. Voir https://go.microsoft.com/fwlink/?linkid=2189925 pour en savoir plus. User : %1 Certificate Subject : %2 Certificate Issuer : %3 Certificate Serial Number : %4 Certificate Thumbprint : %5 Certificate Issuance Time : %6 Account Creation Time : %7
Texte de l'événement (en allemand) :	Le Centre de distribution de clés (KDC, Key Distribution Center) a trouvé un certificat utilisateur valide, mais qui n'a pas pu être associé à un utilisateur de manière sécurisée (par exemple, via une association explicite, une association de confiance de clé ou un SID). Le certificat a également été précédé de l'utilisateur auquel il est associé, raison pour laquelle il a été refusé. Pour plus d'informations, consultez le site https://go.microsoft.com/fwlink/?linkid=2189925. Utilisateur : %1 Demandeur de certificat : %2 Émetteur de certificat : %3 Numéro de série du certificat : %4 Empreinte du certificat : %5 Heure d'émission du certificat : %6 Heure de création du compte : %7

Continuer la lecture

Détails de l'événement avec ID 39 de la source Microsoft-Windows-Kerberos-Key-Distribution-Center

Source de l'événement :	Centre de distribution de clés Microsoft-Windows-Kerberos
ID de l'événement :	39 (0x80000027)
Journal des événements :	Système
Type d'événement :	Avertissement ou erreur
Texte de l'événement (en anglais) :	Le Centre de distribution de clés (KDC, Key Distribution Center) a rencontré un certificat d'utilisateur qui était valide mais qui ne pouvait pas être mappé à un utilisateur de manière sécurisée (par exemple via une cartographie explicite, une cartographie de confiance de clé ou un SID). De tels certificats devraient être soit remplacés, soit mappés directement à l'utilisateur via explicit mapping. Voir https://go.microsoft.com/fwlink/?linkid=2189925 pour en savoir plus. User : %1 Certificate Subject : %2 Certificate Issuer : %3 Certificate Serial Number : %4 Certificate Thumbprint : %5
Texte de l'événement (en allemand) :	Le Centre de distribution de clés (KDC, Key Distribution Center) a trouvé un certificat utilisateur valide mais qui n'a pas pu être associé à un utilisateur de manière sécurisée (par exemple, via une association explicite, une association de confiance de clé ou un SID). De tels certificats doivent être soit remplacés, soit attribués directement à l'utilisateur via une attribution explicite. Pour plus d'informations, consultez le site https://go.microsoft.com/fwlink/?linkid=2189925. Utilisateur : %1 Demandeur de certificat : %2 Émetteur du certificat : %3 Numéro de série du certificat : %4 Empreinte du certificat : %5

Continuer la lecture