> For the complete documentation index, see [llms.txt](https://docs.scepman.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.scepman.com/pt/outros/troubleshooting/sid-spoofing-vulnerability.md).

# Vulnerabilidade de falsificação de SID

Dirk-jan Mollema recentemente [descreveu como estender ataques semelhantes ao Certifried ao Intune](https://dirkjanm.io/extending-ad-cs-attack-surface-intune-certs/). Embora ele tenha usado AD CS e NDES no artigo, os problemas descritos não são específicos deles e, em geral, aplicam-se a todas as PKIs que usam Intune para inscrição via SCEP, incluindo SCEPman.

No entanto, há algumas restrições adicionais para outras PKIs. Mais importante, como isso se baseia na vulnerabilidade geral [Certifried](/pt/outros/troubleshooting/certifried.md), exige que o certificado da CA esteja no armazenamento NTAuth do domínio. Embora o AD CS esteja, por padrão, no armazenamento NTAuth, SCEPman não está, então os usuários do SCEPman só podem ser afetados se tiverem adicionado explicitamente o certificado da CA ao armazenamento NTAuth. Se você não fez isso, está seguro. Alguns casos de uso, porém, exigem a adição do certificado da CA ao armazenamento NTAuth, especialmente [certificados de Domain Controller](/pt/gestao-de-certificados/domain-controller-certificates.md) e [autenticação RDP baseada em certificado](/pt/implementacao-do-scepman/deployment-guides/scenarios/certificate-based-authentication-for-rdp.md). Se o certificado da sua CA estiver no armazenamento NTAuth e você habilitar a inscrição no Intune no SCEPman, isso normalmente permitirá que seus administradores do Intune explorem isso e inscrevam certificados com os quais podem assumir o controle do domínio, ou seja, seus administradores do Intune devem ser tratados como administradores de Nível 0.

Mas Dirk-jan descreveu outro problema, mais grave. O Intune aparentemente não verifica se um SID fornecido pelo usuário corresponde ao atributo onPremisesSecurityIdentifier do usuário ou do dispositivo, cancelando as mitigações que a Microsoft empreendeu com a imposição do Strong Mapping. Um usuário sem privilégios elevados (bem, talvez sejam necessários privilégios de administrador local na própria máquina, ou talvez não) pode inscrever um certificado com o SID de outro usuário. O usuário ainda precisa colocar o UPN do outro usuário no certificado, para o qual atualmente não conhecemos uma exploração existente, mas é um obstáculo de segurança a menos. Para certificados de dispositivo, é ainda pior e Dirk-jan delineou os requisitos específicos com os quais um usuário normal pode inscrever um certificado que lhe permite autenticar-se como o sistema Domain Controller e assumir o controle da máquina.

Se você tiver o certificado da CA do SCEPman no armazenamento NTAuth e quiser impedir o ataque, você pode definir [AppConfig:IntuneValidation:AllowRequestedSidExtension](/pt/configuracao-do-scepman/application-settings/scep-endpoints/intune-validation.md#appconfig-intunevalidation-allowrequestedsidextension) para *false*. Isso filtrará extensões SID, incluindo as falsificadas. Este também é o valor padrão para esta configuração no SCEPman 2.11.1460 ou mais recente. Versões anteriores do SCEPman também removem URIs SID da extensão SAN que normalmente são legítimos se você configurar essa definição, podendo impedir casos de uso válidos.


---

# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.

## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question.

Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter:

```
GET https://docs.scepman.com/pt/outros/troubleshooting/sid-spoofing-vulnerability.md?ask=<question>&goal=<endgoal>
```

`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal.

The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.

Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.