Constrained delegation saldırıları, Active Directory’nin kısıtlı delegasyon özelliğinin, bir hizmet hesabı ele geçirildiğinde saldırgana yüksek yetkili kullanıcıları taklit etme imkanı vermesinden yararlanır. Delegasyonun amacı, bir hizmetin kullanıcı adına başka bir hizmete güvenli biçimde erişmesini sağlamaktır; ancak yanlış tasarlandığında bu güven zinciri saldırganın kimlik taklidi aracına dönüşür.

Kısıtlı delegasyon, bir hizmete başkaları adına konuşma izni verir; o hizmeti ele geçiren saldırgan da aynı izni devralır.

Delegasyon Neden Var?

Çok katmanlı uygulamalarda ön yüzdeki bir web hizmeti, kullanıcının kimliğiyle arka plandaki bir veritabanına erişmek isteyebilir. Kerberos’un kısıtlı delegasyon mekanizması, bu web hizmetine yalnızca belirli hedef hizmetler için kullanıcı adına bilet alma yetkisi verir. Bu, Kerberos kimlik doğrulama protokolünde S4U (Service for User) uzantılarıyla gerçekleştirilir ve teoride izin verilen hedeflerle sınırlıdır.

Sorun, S4U2Self ve S4U2Proxy adı verilen iki alt mekanizmanın birlikte kullanılış biçiminde ortaya çıkar. S4U2Self, hizmetin herhangi bir kullanıcı adına kendisine bilet üretmesine izin verir; bu bilet ‘iletilebilir’ olduğunda, hizmet onu S4U2Proxy ile izin verilen hedef hizmete geçirerek o kullanıcı adına erişim sağlar. Saldırgan bu iki adımı zincirleyerek, hizmet hesabının yetkisini bir alan yöneticisi kimliğine büründürebilir.

Saldırı Nasıl Gerçekleşir?

Saldırganın önce delegasyon yetkisi tanımlı bir hizmet hesabını ele geçirmesi gerekir; bu genellikle parola kırma veya bilet çalma yoluyla olur. Hesap eline geçtiğinde, S4U2Self ile alan yöneticisi adına kendisine bir bilet üretir ve ardından bunu izin verilen hedef hizmete karşı kullanır. Böylece saldırgan, hiçbir zaman parolasını bilmediği ayrıcalıklı bir kullanıcının kimliğiyle hedef sisteme erişir; bu doğrudan yetki yükseltme anlamına gelir.

Benzer bir mantık, kaynak tarafında yapılandırılan kaynak tabanlı kısıtlı delegasyon üzerinde de işler; burada delegasyon izni hedef nesnenin üzerinde tanımlandığından, bir bilgisayar nesnesinin özniteliğini değiştirebilen saldırgan kendi kontrolündeki bir hesaba delegasyon hakkı vererek aynı taklit zincirini kurar. Her iki durumda da temel zayıflık, delegasyon güveninin fazla geniş dağıtılmasıdır.

Tespit ve Sınırlama

Savunmanın ilk adımı, hangi hesapların delegasyon yetkisine sahip olduğunu envanterlemektir; bu ayarlar zamanla birikir ve çoğu ortamda gereğinden fazla hesapta açık kalır. Kritik hesaplar ‘hesap hassastır ve delege edilemez’ olarak işaretlenerek taklit edilmekten korunabilir; hizmet hesaplarına verilen delegasyon hedefleri gerçekten ihtiyaç duyulanlarla sınırlanmalıdır.

Bu tür yanlış yapılandırmalar dizinde sessizce durur ve rutin denetimlerde kolayca gözden kaçar; onları görünür kılmak için Active Directory güvenliği odaklı bir saldırgan bakışı gerekir. Privia Security’nin red team hizmeti delegasyon yapılandırmalarını S4U zincirleri üzerinden test eder ve hangi hizmet hesaplarının alan yöneticisine giden bir yol açtığını kuruma raporlar.