> For the complete documentation index, see [llms.txt](https://docs.scepman.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.scepman.com/ja/sono/troubleshooting/certifried.md). # Certifried セキュリティ脆弱性 Certifried は、2022年5月に公表されたセキュリティ脆弱性で、 [CVE-2022-26921](https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-26921) および [CVE-2022-26923](https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-26923). [Oliver Lyak は、権限昇格の脆弱性について説明しました](https://research.ifcr.dk/certifried-active-directory-domain-privilege-escalation-cve-2022-26923-9e098fe298f4) 彼は、証明書認証を使って発見したと述べています。彼によれば、攻撃者は、Domain Controller コンピューター アカウントとして認証できる証明書を登録でき、その結果、AD ドメイン（接続されている場合は AAD Tenant も）を乗っ取ることができます。Microsoft は脆弱性に対して [KB5014754 の修正プログラムで](https://support.microsoft.com/en-us/topic/kb5014754-certificate-based-authentication-changes-on-windows-domain-controllers-ad2c23b0-15d8-4340-a468-4d4f3b188f16#bkmk_certmap)対応しました。この記事では、これが SCEPman を実行している組織にどのような影響を与えるか、また SCEPman がセキュリティ問題の緩和にどのように役立つかを説明します。 ## 概要 * ほとんどの場合、SCEPman の証明書は Certifried 攻撃には使用できません * SCEPman を使うと Certifried 攻撃の緩和に役立ちます。というのも、Microsoft CA の証明書とは異なり、SCEPman CA の証明書は通常 NTAuth ストアに含める必要がないためです * Microsoft の修正プログラムは、ほとんどの場合 SCEPman のインストールに影響しません。その場合は、Full Enforcement モードを有効にするのがよいでしょう。 ## Microsoft の修正プログラムの影響 の修正プログラムは [KB5014754](https://support.microsoft.com/en-us/topic/kb5014754-certificate-based-authentication-changes-on-windows-domain-controllers-ad2c23b0-15d8-4340-a468-4d4f3b188f16#bkmk_certmap) 既定では、いくつかの追加監査イベントが付与されるだけです。Full Enforcement モードは 2025年2月11日に開始されます。手動で有効にした場合はそれより早く開始されます。Full Enforcement モードでは、証明書は、アカウントの SID を含む場合、またはユーザー証明書の場合は AD オブジェクトに特定の証明書への参照が含まれている場合にのみ、ユーザーおよびデバイスの認証に使用できます。前者には新しい独自の X.509 拡張が必要で、後者は Certificate Mapping と呼ばれ、altSecurityIdentities 属性を使用します。 一般的に言えば、これは AD 認証にのみ影響します。そのためには、CA 証明書を Forest の NTAuth Store に追加する必要があります。既定では、これを明示的に手動で行わない限り、SCEPman は NTAuth Store に追加されません。まだ行っておらず、今後も行う予定がない場合、この修正プログラムは SCEPman インスタンスに影響しません。SCEPman Docs では、SCEPman CA 証明書を NTAuth Store に追加することを推奨しているユースケースが1つあり、それは [SCEPman に Domain Controller 証明書を Kerberos 認証用に発行させたい場合です](/ja/zheng-ming-shu-guan-li/domain-controller-certificates.md#trust-the-ca-certificate-in-the-domain-for-kerberos-authentication). ### Intune デバイス証明書 デバイス証明書は [Windows Hello for Business 証明書信頼](https://docs.microsoft.com/en-us/windows/security/identity-protection/hello-for-business/hello-hybrid-cert-trust)に使用できる可能性があります。証明書信頼に使用するためにデバイス証明書へ AD の DNS 名を追加している場合は、影響を受ける可能性があります。これには、AAD と AD の両方にデバイス オブジェクトが必要です。このあまり使われないユースケースについては、 [WHfB Cloud Trust](https://docs.microsoft.com/en-us/windows/security/identity-protection/hello-for-business/hello-hybrid-cloud-trust). ### Intune ユーザー証明書 ユーザー証明書は Windows Hello for Business 証明書信頼に使用できます。また、ドメイン参加済みマシンへの RDP セッションや NPS に基づく WiFi 認証など、証明書ベースの AD 認証の他の方法にも使用できます。これを行いたい場合は、 [AppConfig:AddSidExtension](/ja/scepman-gou-cheng/application-settings/certificates.md#appconfig-addsidextension) の設定を使用して、SCEPman に強力な証明書マッピング証明書を作成させることができます。AD と Entra ID の間で同期されたユーザー向けのユーザー証明書には、自動的に OID 1.3.6.1.4.1.311.25.2 の拡張が付与され、AD ユーザーに強くマッピングされます。\ さらに Intune チームは [SAN 値を追加する](/ja/scepman-gou-cheng/intune-implementing-strong-mapping-for-scep-and-pkcs-certificates.md) ことで、この強力な証明書マッピングを実装する予定です。これを SID 拡張の代替として使用することもできます。 ### DC 証明書 Domain Controller 証明書はこの脆弱性の影響を受けないため、通常は修正プログラムの影響も受けません。DC 証明書が Client Authentication に使用されている場合がありますが、これは以前は許可されていました。Full Enforcement が有効になると、これはもう機能しません。 [監査イベント](https://support.microsoft.com/en-us/topic/kb5014754-certificate-based-authentication-changes-on-windows-domain-controllers-ad2c23b0-15d8-4340-a468-4d4f3b188f16#bkmk_auditevents) をパッチ適用後に確認して、これが影響するかどうかを判断してください。ほとんどの場合、これは問題にならないはずです。 ## SCEPman 証明書を使用した攻撃 Certifried 攻撃は、NTAuth ストア内の CA 証明書でのみ使用できます。既定では、SCEPman CA 証明書はこれに該当しません。したがって、Microsoft Active Directory Certificate Services の代わりに Intune を介して SCEPman で証明書を登録している場合、あなたの環境はこの攻撃の影響を受けない可能性が高いです。ただし、SCEPman が Domain Controller 証明書を発行している場合は、SCEPman CA 証明書が NTAuth ストアにあり、以降を読み進める必要があります。 攻撃者は、Subject Alternative Name (SAN) 拡張に偽の UPN があり、Extended Key Usage (EKU) が Smart Card Logon の証明書、または SAN に偽の DNS 名があり EKU が Client Authentication の証明書を必要とします。 ### Intune ユーザー証明書 攻撃者が AAD ユーザー アカウントを制御して SCEPman にユーザー証明書を登録させるとします。攻撃者はどのようにして、攻撃に使用できる証明書を SCEPman に発行させるのでしょうか。 ユーザー証明書には通常、EKU Client Authentication が含まれます。しかし、推奨どおりに設定していれば、SAN に DNS 名は含まれません。したがって、これらの証明書は使用できません。 EKU Smart Card Logon を構成している場合、証明書は認証に使用できますが、UPN のアカウントに対してのみです。AAD から取得された UPN は検証されるため、攻撃者は、まだ手に入れていないアカウントの UPN を証明書に入れることはできません。もし [強固な証明書マッピング](/ja/scepman-gou-cheng/intune-implementing-strong-mapping-for-scep-and-pkcs-certificates.md)も使用しているなら、UPN が変更されても証明書が別のアカウントで機能しないようにできます。 ### Intune デバイス証明書 基本的な推奨事項に従うと、デバイス証明書には EKU Client Authentication が含まれます。その SAN には URI エントリが含まれますが、これはエクスプロイトには使用できません。ただし、たとえば DeviceName.contoso.com のような DNS 名を SAN に追加することはできます。また、SCEPman CA 証明書を NTAuth Store にインポートしていた場合、これらの証明書は同じ DNS 名を持つデバイスとしてオンプレミスで認証するために使用できます。ユーザーはデバイス名を自由に定義できるため、デバイスに「PrimaryDomainController」という名前を付けて、すでに AD に同名のコンピューターが存在していても、オンプレミスで PrimaryDomainController.contoso.com として認証できてしまいます。ちなみに、これは SCEPman 固有の問題ではなく、NDES のような他の SCEP 実装にも影響します。 したがって、同じ SCEPman インスタンスを DC 証明書にも使用する場合は、デバイス名のようなユーザー制御データに基づく DNS 名エントリを、オンプレミスのドメインでも使用されるドメイン名と組み合わせて追加しないでください。これが必要な場合は、権限昇格攻撃を防ぐために Full Enforcement モードを有効にする必要があります。あるいは、DC 証明書用と Intune 登録用で、2つの別々の SCEPman インスタンスを運用することもできます。 ### Jamf Pro ユーザーおよびデバイス証明書 Jamf Pro 経由で発行された証明書には EKU Client Authentication が含まれます。ドキュメントに従っていれば、どの種類の証明書にも SAN の DNS 名は含まれません。したがって、これらの証明書は Certifried 攻撃には使用できません。たとえば DC 証明書を発行しているなどして、AD の NTAuthStore に SCEPman CA がある場合は、SAN に DNS 名を追加しないようにするか、AD ドメインで Full Enforcement モードを有効にしてください。 ### Certificate Master 証明書 SCEPman バージョン 2.1 時点では、Certificate Master コンポーネントを通じて証明書を発行する方法は3つあります。 [**TLS サーバー証明書**](/ja/zheng-ming-shu-guan-li/certificate-master/tls-server-certificate-pkcs-12.md) は、EKU として Smart Card Logon も Client Authentication も含まないため、影響を受けません。 [**手動クライアント証明書**](/ja/zheng-ming-shu-guan-li/certificate-master/client-certificate-pkcs-12.md) も影響を受けません。Client Authentication EKU は含まれますが、DNS の SAN エントリはありません。 [**カスタム CSR リクエスト**](/ja/zheng-ming-shu-guan-li/certificate-master/certificate-signing-request-csr.md) は自由に設定でき、認証証明書が含まれます。Certificate Master アプリケーションにアクセスできる人なら誰でもこのような証明書を発行できるため、少なくとも次のいずれかの予防策を講じる必要があります。 * 権限のないアカウントではなく、特権アカウントのみが Certificate Master にアクセスできるようにしてください。たとえば、 [Certificate Master コンポーネントへのアクセスを許可する](/ja/scepman-nodepuroi/permissions/post-installation-config.md#granting-the-rights-to-request-certificates-via-the-certificate-master-website) のは、 [特権アクセス グループ](https://docs.microsoft.com/en-us/azure/active-directory/privileged-identity-management/groups-features). * として設計した単一の AAD グループのみに限定できます。 * AD ドメインで Full Enforcement モードを有効にしてください。 ### Domain Controller 証明書 攻撃者が Domain Controller 証明書を発行するために必要なアクセス権を持っている場合、その攻撃者はおそらくすでに Domain Controller を制御しており、ドメインも所有しています。その攻撃者に Certifried 攻撃は必要ありません。 --- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://docs.scepman.com/ja/sono/troubleshooting/certifried.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.