> For the complete documentation index, see [llms.txt](https://docs.scepman.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.scepman.com/de/andere/troubleshooting/certifried.md). # Certifried-Sicherheitslücke Certifried ist eine Sicherheitslücke, die im Mai 2022 veröffentlicht wurde als [CVE-2022-26921](https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-26921) und [CVE-2022-26923](https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-26923). [Oliver Lyak beschrieb eine Schwachstelle zur Rechteausweitung](https://research.ifcr.dk/certifried-active-directory-domain-privilege-escalation-cve-2022-26923-9e098fe298f4) die er mithilfe der Zertifikatsauthentifizierung entdeckt hatte. Er beschreibt, dass ein Angreifer ein Zertifikat registrieren könnte, das ihn als Domain Controller-Computerkonto authentifizieren lässt und dadurch eine AD-Domäne (und einen AAD-Tenant, falls verbunden) übernehmen könnte. Microsoft hat die Schwachstellen mit [einem Patch in KB5014754](https://support.microsoft.com/en-us/topic/kb5014754-certificate-based-authentication-changes-on-windows-domain-controllers-ad2c23b0-15d8-4340-a468-4d4f3b188f16#bkmk_certmap)abgedeckt. Dieser Artikel beschreibt, wie sich dies auf Organisationen auswirkt, die SCEPman betreiben, und wie SCEPman helfen kann, das Sicherheitsproblem zu entschärfen. ## Zusammenfassung für Führungskräfte * SCEPman-Zertifikate können in den meisten Fällen nicht für Certifried-Angriffe verwendet werden * Die Verwendung von SCEPman hilft, Certifried-Angriffe zu entschärfen, weil SCEPman-CA-Zertifikate im Gegensatz zu Microsoft-CA-Zertifikaten normalerweise nicht im NTAuth Store vorhanden sein müssen * Der Patch von Microsoft wird SCEPman-Installationen in den meisten Fällen nicht beeinträchtigen. In diesen Fällen ist es eine gute Idee, den Full Enforcement-Modus zu aktivieren. ## Auswirkungen von Microsofts Patch Der Patch in [KB5014754](https://support.microsoft.com/en-us/topic/kb5014754-certificate-based-authentication-changes-on-windows-domain-controllers-ad2c23b0-15d8-4340-a468-4d4f3b188f16#bkmk_certmap) fügt standardmäßig nur einige zusätzliche Überwachungsereignisse hinzu. Der Full Enforcement-Modus startet am 11. Februar 2025 – oder früher, wenn er manuell aktiviert wird. Im Full Enforcement-Modus können Zertifikate nur dann für Benutzer- und Geräteauthentifizierung verwendet werden, wenn sie entweder die SID eines Kontos enthalten oder, im Fall von Benutzerzertifikaten, wenn das AD-Objekt des Benutzers einen Verweis auf das spezifische Zertifikat enthält. Ersteres erfordert eine neue proprietäre X.509-Erweiterung, Letzteres wird Certificate Mapping genannt und verwendet das Attribut altSecurityIdentities. Im Allgemeinen hat dies nur Auswirkungen auf AD-Authentifizierungen. Dafür muss das CA-Zertifikat dem NTAuth Store des Forests hinzugefügt werden. Standardmäßig wird SCEPman dem NTAuth Store nicht hinzugefügt, wenn Sie dies nicht ausdrücklich und manuell tun. Wenn Sie das bisher nicht getan haben und es auch nicht vorhaben, hat der Patch keine Auswirkungen auf Ihre SCEPman-Instanz. Es gibt einen Anwendungsfall, bei dem die SCEPman-Dokumentation empfiehlt, das SCEPman-CA-Zertifikat dem NTAuth Store hinzuzufügen, nämlich wenn Sie [SCEPman dazu bringen, Domain Controller-Zertifikate für die Kerberos-Authentifizierung auszustellen](/de/zertifikatsverwaltung/domain-controller-certificates.md#trust-the-ca-certificate-in-the-domain-for-kerberos-authentication). ### Intune-Gerätezertifikate Gerätezertifikate könnten für [Windows Hello for Business Certificate Trust](https://docs.microsoft.com/en-us/windows/security/identity-protection/hello-for-business/hello-hybrid-cert-trust). Wenn Sie den AD-DNS-Namen zu Gerätezertifikaten hinzugefügt haben, um sie für Certificate Trust zu verwenden, könnten Sie betroffen sein. Dafür ist ein Geräteobjekt sowohl in AAD als auch in AD erforderlich. Für diesen seltenen Anwendungsfall empfehlen wir den Wechsel zu [WHfB Cloud Trust](https://docs.microsoft.com/en-us/windows/security/identity-protection/hello-for-business/hello-hybrid-cloud-trust). ### Intune-Benutzerzertifikate Benutzerzertifikate können für Windows Hello for Business Certificate Trust verwendet werden. Sie könnten auch für andere Arten der zertifikatsbasierten AD-Authentifizierung verwendet werden, wie RDP-Sitzungen zu der Domäne beigetretenen Computern oder WiFi-Authentifizierung auf Basis von NPS. Wenn Sie dies tun möchten, können Sie die Einstellung [AppConfig:AddSidExtension](/de/scepman-konfiguration/application-settings/certificates.md#appconfig-addsidextension) verwenden, damit SCEPman Strong Certificate Mapping-Zertifikate erstellen kann. Benutzerzertifikate für Benutzer, die zwischen AD und Entra ID synchronisiert werden, erhalten automatisch die Erweiterung mit OID 1.3.6.1.4.1.311.25.2, um sie stark mit AD-Benutzern zuzuordnen.\ Das Intune-Team plant außerdem [einen SAN-Wert hinzuzufügen](/de/scepman-konfiguration/intune-implementing-strong-mapping-for-scep-and-pkcs-certificates.md) um das Strong Certificate Mapping umzusetzen. Sie können diese Methode auch als Alternative zur SID-Erweiterung verwenden. ### DC-Zertifikate Domain Controller-Zertifikate sind von der Schwachstelle nicht betroffen und daher im Allgemeinen auch nicht vom Patch betroffen. Es kann vorkommen, dass DC-Zertifikate für die Client Authentication verwendet werden, wofür sie bisher zugelassen waren. Dies funktioniert nicht mehr, sobald Full Enforcement aktiviert ist. Achten Sie auf [Überwachungsereignisse](https://support.microsoft.com/en-us/topic/kb5014754-certificate-based-authentication-changes-on-windows-domain-controllers-ad2c23b0-15d8-4340-a468-4d4f3b188f16#bkmk_auditevents) nach dem Patchen, um herauszufinden, ob dies Sie betreffen könnte. In den meisten Fällen sollte das kein Problem sein. ## Angriffe mit SCEPman-Zertifikaten Der Certifried-Angriff kann nur mit CA-Zertifikaten im NTAuth Store verwendet werden. Standardmäßig ist dies beim SCEPman-CA-Zertifikat nicht der Fall. Wenn Sie also SCEPman verwenden, um Zertifikate per Intune statt mit Microsoft Active Directory Certificate Services zu registrieren, stehen die Chancen gut, dass Ihre Umgebung gegen den Angriff immun ist. Wenn Ihr SCEPman jedoch Domain Controller-Zertifikate ausstellt, befindet sich Ihr SCEPman-CA-Zertifikat im NTAuth Store und Sie sollten weiterlesen. Ein Angreifer benötigt ein Zertifikat mit entweder einer gefälschten UPN in der Subject Alternative Name (SAN)-Erweiterung und der Extended Key Usage (EKU) Smart Card Logon oder einem gefälschten DNS-Namen im SAN und der EKU Client Authentication. ### Intune-Benutzerzertifikate Nehmen wir an, ein Angreifer übernimmt ein AAD-Benutzerkonto, um SCEPman die Ausstellung eines Benutzerzertifikats zu ermöglichen. Wie könnte der Angreifer SCEPman dazu bringen, ein für den Angriff verwendbares Zertifikat auszustellen? Benutzerzertifikate enthalten normalerweise die EKU Client Authentication. Wenn Sie jedoch den Empfehlungen folgen, enthalten sie keinen DNS-Namen im SAN. Daher können diese Zertifikate nicht verwendet werden. Wenn Sie die EKU Smart Card Logon konfiguriert haben, kann das Zertifikat zur Authentifizierung verwendet werden, jedoch nur für das Konto in der UPN. Die UPN kommt aus AAD und wird verifiziert, sodass der Angreifer keinen UPN eines Kontos in das Zertifikat bekommen kann, über das er nicht ohnehin bereits verfügt. Wenn Sie zusätzlich [starke Zertifikatszuordnung](/de/scepman-konfiguration/intune-implementing-strong-mapping-for-scep-and-pkcs-certificates.md)verwenden, können Sie sicherstellen, dass Zertifikate nicht für ein anderes Konto funktionieren, wenn sich die UPN ändert. ### Intune-Gerätezertifikate Wenn man unseren grundlegenden Empfehlungen folgt, haben Gerätezertifikate die EKU Client Authentication. Ihr SAN enthält einen URI-Eintrag, der für den Exploit nicht verwendet werden kann. Sie können dem SAN jedoch zusätzlich einen DNS-Namen hinzufügen, zum Beispiel DeviceName.contoso.com. Wenn Sie das SCEPman-CA-Zertifikat ebenfalls in den NTAuth Store importiert haben, können diese Zertifikate verwendet werden, um sich on-prem als Gerät mit demselben DNS-Namen zu authentifizieren. Da Benutzer ihre Gerätenamen beliebig festlegen können, könnten sie ihr Gerät "PrimaryDomainController" nennen und sich on-prem als PrimaryDomainController.contoso.com authentifizieren, selbst wenn ein solcher Computer im AD bereits existiert. Übrigens ist dies nicht SCEPman-spezifisch und würde auch andere SCEP-Implementierungen wie NDES betreffen. Daher sollten Sie keine DNS-Namenseinträge auf Basis von benutzerkontrollierten Daten wie dem Gerätenamen mit Domänennamen hinzufügen, die auch für On-Prem-Domänen verwendet werden, wenn Sie dieselbe SCEPman-Instanz auch für DC-Zertifikate verwenden! Wenn Sie dies dennoch benötigen, müssen Sie den Full Enforcement-Modus aktivieren, um den Rechteausweitungsangriff zu verhindern. Sie könnten auch zwei separate SCEPman-Instanzen betreiben, eine für DC-Zertifikate und eine für die Intune-Registrierung. ### Jamf Pro Benutzer- und Gerätezertifikate Zertifikate, die über Jamf Pro ausgestellt werden, haben die EKU Client Authentication. Wenn Sie unserer Dokumentation folgen, wird keine Art von Zertifikat einen DNS-Namen im SAN haben. Daher sind diese Zertifikate für einen Certifried-Angriff unbrauchbar. Wenn Sie das SCEPman-CA in Ihrem NTAuthStore von AD haben, zum Beispiel weil Sie DC-Zertifikate ausstellen, sollten Sie keine DNS-Namen zum SAN hinzufügen oder sicherstellen, dass Sie den Full Enforcement-Modus in Ihrer AD-Domäne aktivieren. ### Certificate Master-Zertifikate Es gibt in SCEPman Version 2.1 drei Möglichkeiten, Zertifikate über die Certificate-Master-Komponente auszustellen. [**TLS-Serverzertifikate**](/de/zertifikatsverwaltung/certificate-master/tls-server-certificate-pkcs-12.md) sind nicht betroffen, da sie weder Smart Card Logon noch Client Authentication als EKU enthalten. [**Manuelle Client-Zertifikate**](/de/zertifikatsverwaltung/certificate-master/client-certificate-pkcs-12.md) sind ebenfalls nicht betroffen. Sie enthalten die EKU Client Authentication, aber keinen DNS-SAN-Eintrag. [**Benutzerdefinierte CSR-Anfragen**](/de/zertifikatsverwaltung/certificate-master/certificate-signing-request-csr.md) sind frei konfigurierbar und umfassen Authentifizierungszertifikate. Da jeder, der Zugriff auf die Certificate-Master-Anwendung hat, ein solches Zertifikat ausstellen kann, sollten Sie mindestens eine der folgenden Vorsichtsmaßnahmen treffen: * Stellen Sie sicher, dass nur privilegierte Konten auf Certificate Master zugreifen können. Sie könnten zum Beispiel [den Zugriff auf die Certificate-Master-Komponente gewähren](/de/scepman-bereitstellung/permissions/post-installation-config.md#granting-the-rights-to-request-certificates-via-the-certificate-master-website) nur einer einzelnen AAD-Gruppe, die Sie als [Gruppe für privilegierten Zugriff](https://docs.microsoft.com/en-us/azure/active-directory/privileged-identity-management/groups-features). * Verwenden Sie separate SCEPman-Instanzen und CA-Zertifikate für DC-Zertifikate (deren CA-Zertifikat im NTAuth Store liegt) und Certificate Master. * Aktivieren Sie den Full Enforcement-Modus in Ihrer AD-Domäne. ### Domain Controller-Zertifikate Wenn ein Angreifer über die erforderlichen Zugriffsrechte verfügt, um Domain Controller-Zertifikate auszustellen, hat dieser Angreifer wahrscheinlich bereits die Kontrolle über einen Domain Controller und besitzt die Domäne bereits. Der Angreifer benötigt den Certifried-Angriff nicht. --- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://docs.scepman.com/de/andere/troubleshooting/certifried.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.