Mange miljøer har en certifikatserver, som blev sat op til trådløst net, VPN eller interne websider, og som siden har kørt uden opmærksomhed. Den bliver ikke altid nævnt, når IT-afdelingen beskriver, hvad der er vigtigt i kataloget. Svaret på, hvorfor den skal med i en AD-test, hviler på én egenskab: certifikater kan bruges til at logge på, og den, der kan få udstedt det forkerte certifikat, kan i værste fald optræde som en anden bruger, også en administrator.
Det gør certifikattjenesterne til en del af de mest betroede systemer, på linje med domænecontrollerne. Det er ikke nødvendigvis sådan, de bliver drevet.
Hvad certifikattjenesterne gør
Microsoft beskriver Active Directory Certificate Services som en serverrolle, der udsteder og administrerer certifikater til brugere, computere og tjenester. Certifikaterne bruges til kryptering, signering og godkendelse, og de understøtter blandt andet trådløst net, VPN, smartcard-login og sikre forbindelser til interne websider. Oplysninger fra kataloget bruges til at udfylde certifikaterne, og gruppepolitikker kan styre, hvem der får hvilke typer.
Opsætningen styres i høj grad af skabeloner. En skabelon beskriver, hvad et certifikat må bruges til, hvem der må bede om det, og hvilke oplysninger der skal stå i det. Det er især her, testen kigger.
Hvorfor området bliver overset
Certifikattjenesterne kan blive sat op én gang og derefter kun rørt, når et certifikat udløber. Skabelonerne er kopieret og tilpasset i forbindelse med projekter, og ingen har senere gennemgået, om indstillingerne passer sammen. Ansvaret ligger tit hos den person eller leverandør, der byggede løsningen, og er ikke overdraget, da personen gik videre.
Microsoft nævner i sine anbefalinger for at sikre Active Directory servere til offentlige nøgler blandt de systemer, der typisk er mål, når angribere går efter loginoplysninger, fordi de påvirker identitet og adgang. Alligevel kan certifikatserveren stå i samme driftsgruppe som almindelige servere.
Det, testen ser på
Testen undersøger opsætningen fra en almindelig konto og vurderer, om nogen del af den giver en vej til højere rettigheder. Fundene kan beskrives uden at gå ind i, hvordan de bruges.
- Skabeloner · om en skabelon tillader almindelige brugere at få udstedt certifikater, der kan bruges til login, med for stor frihed til at bestemme indholdet.
- Rettigheder over skabeloner · om andre end de mest betroede administratorer kan ændre en skabelon.
- Rettigheder over udstederen · om brede grupper har ret til at styre selve certifikatserveren eller godkende anmodninger.
- Tilmelding via web · om der findes tjenester til at bede om certifikater, som er sat op på en måde, der svækker beskyttelsen.
- Serverens placering · hvem der kan logge på certifikatserveren, og om den er beskyttet som de andre mest betroede systemer.
Microsofts egen dokumentation for overvågning af identiteter beskriver en række sådanne fejlopsætninger som vurderinger, der kan rettes i opsætningen. Det understreger, at der er tale om kendte typer, ikke sjældne specialtilfælde.
Hvad fundene betyder
Fund i certifikattjenesterne vurderes efter, hvad et udstedt certifikat kan bruges til. Kan en almindelig bruger få et certifikat, der giver login som en administrator, er fundet lige så alvorligt som et medlemskab af den højeste administratorgruppe. Det kræver ingen ændring af grupper og er derfor svært at opdage med den overvågning, der holder øje med medlemskaber. → Privilegerede grupper i Active Directory
Et certifikat lever desuden, til det udløber eller bliver tilbagekaldt. Skift af en adgangskode fjerner ikke en adgang, der hviler på et certifikat. Det har betydning for oprydningen efter testen.
Når fundene skal prioriteres, så skeln mellem tre niveauer. Øverst står det, der giver en direkte vej til de mest betroede konti; det rettes med det samme, også hvis det betyder, at en skabelon midlertidigt tages ud af brug. Dernæst kommer rettigheder, der ville gøre det muligt at skabe en sådan vej, fx retten til at ændre en skabelon. Nederst står svagheder i opsætningen, som ikke alene giver højere rettigheder, men som bør indgå i den planlagte gennemgang.
Sådan retter I efter testen
Rettelserne er opsætning og drift, og de kan deles op.
- Luk vejene først · skabeloner, der giver en vej til højere rettigheder, ændres eller tages ud af brug, og brede rettigheder over skabeloner og udsteder fjernes.
- Gennemgå alle skabeloner · for hver skabelon: bruges den, hvem skal kunne bede om den, og hvad må certifikatet bruges til?
- Ryd op i udstedte certifikater · certifikater, der er udstedt under testen eller ud fra en skabelon med en fejl, vurderes og tilbagekaldes efter behov. → Spor efter testeren
- Beskyt serveren · certifikatserveren behandles som et af de mest betroede systemer, med samme begrænsning af, hvem der kan logge på. → Lagdelt administration
- Placer ansvaret · én person eller rolle ejer certifikattjenesterne og godkender ændringer i skabelonerne.
Test ændringer i skabelonerne med de systemer, der bruger dem. Et trådløst net eller en VPN-forbindelse kan holde op med at virke, hvis en skabelon ændres uden forberedelse. → Rettelser uden at stoppe driften
Kom med i scope fra start
Når I bestiller en AD-test, så nævn certifikattjenesterne udtrykkeligt i aftalen, og oplys, hvor mange udstedere der findes, og hvad de bruges til. Er der flere domæner eller en udsteder, der deles med et andet selskab, skal det også fremgå. Bed om, at rapporten oplyser, om området blev undersøgt, selv om der ikke blev fundet noget. Har en leverandør bygget løsningen, så bed leverandøren om en kort beskrivelse af skabelonerne og deres formål før testen; det sparer tid for testeren og giver jer selv et overblik, som måske mangler. → Active Directory-test i dybden
Det skal I lade være med
- At se certifikatserveren som en almindelig server. Den hører til de mest betroede systemer.
- At tro, at skift af adgangskoder rydder op. Udstedte certifikater lever videre.
- At ændre skabeloner uden at teste med de systemer, der bruger dem.
- At lade skabeloner ligge, som ingen bruger. De er en unødvendig risiko.
- At udelade certifikattjenesterne fra scope. Så siger testen intet om dem.
Hvad kan og ikke kan konkluderes
Testen viser, om testeren fandt en vej til højere rettigheder gennem certifikattjenesterne fra de aftalte konti, og hvilke dele af opsætningen der blev vurderet. Den er ikke en fuld gennemgang af jeres offentlige nøgleinfrastruktur, og den kan ikke sige noget om certifikater, der er udstedt før testen, medmindre det er aftalt.
Tjekliste til certifikattjenesterne
- ☐ Er certifikattjenesterne nævnt i scope for AD-testen?
- ☐ Er alle skabeloner gennemgået for brug, adgang og formål?
- ☐ Er rettigheder over skabeloner og udsteder begrænset?
- ☐ Behandles certifikatserveren som et af de mest betroede systemer?
- ☐ Er certifikater fra testen og fra fejlbehæftede skabeloner vurderet?
- ☐ Har certifikattjenesterne en navngiven ejer?
Kilder
- Microsoft Learn: What is Active Directory Certificate Services?: serverrollen udsteder certifikater til brugere, computere og tjenester til kryptering, signering og godkendelse, herunder smartcard-login, VPN og trådløst net.
- Microsoft Learn: Certificates security posture assessment in Defender for Identity: kendte fejlopsætninger i skabeloner, rettigheder over skabeloner og udsteder samt tilmelding via web.
- Microsoft Learn: Best practices for securing Active Directory: servere til offentlige nøgler blandt de systemer, der typisk er mål.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler til IT-afdelingen
Læs også: Delegerede og arvede rettigheder i Active Directory · Tillid mellem domæner
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
