Windows Hello’dan AD kaynağına: PRT, trust modeli ve ticket yolu

1. Core Mechanism / Temel mekanizma

12.04 cihazın join durumunu ve Windows Hello anahtarını tanıttı. Bu ders kullanıcı anahtarından AD kaynağına uzanan yolu izler. 06.02’deki TGT, service ticket ve kaynak kararı ayrımı burada da geçerlidir.

Arabirimler ve belirtimler

• WHfB user private key cihazda kalır; PIN veya biyometri onu yerel olarak kullanıma açan gesture’dır.
• PRT, Entra cloud/broker bağlamına aittir; SMB servisine AD service ticket yerine sunulmaz.
• Cloud Kerberos trust partial TGT’si on-prem writable DC’de full AD TGT yolunun girdisidir.
• Key trust public-key lookup ve DC certificate doğrulamasına; certificate trust kullanıcı/DC certificate zincirine dayanır.
• Service ticket alma, servisin authentication doğrulaması ve resource authorization üç ayrı aşamadır.

Cihaz kimliği kullanıcı credential’ı değildir

Bir cihazın Entra joined veya hybrid joined olması onun ilişki durumunu tarif eder. Kullanıcının WHfB anahtarı ayrı credential’dır. Kullanıcı gesture ile anahtarı kullanır; PIN’i uzaktaki DC’ye parola gibi göndermek bu model değildir.

CloudAP ve broker cloud sign-in bağlamını yönetir. User key ile device transport key de aynı anahtar değildir. Anahtarın rolünü, sahibi ve koruduğu veriden takip et; her “token” kelimesini aynı nesne sayma.

Cloud trust: iki authority, iki aşama

Hazır cloud-trust örneğinde Entra authentication başarılıdır; PRT ve Entra Kerberos partial TGT kullanılabilir. Partial TGT, tam AD authorization context’i yerine geçmez. İstemci writable DC’yi bulur; DC partial TGT’yi doğrulayıp full AD TGT üretir.

Sonra resource SPN için service ticket istenir. Servis bunu doğrular; dosya için gereken hakkı kendi resource koşullarıyla değerlendirir. DC’ye ulaşılamadığı yeni-ticket senaryosunda cloud başarı aynı kalırken on-prem yol durabilir. Hazır ticket veya açık session kullanımı başka bir başlangıç durumudur.

Key trust ve certificate trust nerede ayrılıyor?

Key trust’ta AD’deki kayıtlı user public key ve DC’nin certificate doğrulaması önemlidir. Hybrid dağıtımda public-key synchronization bağımlılığı vardır. User authentication için CA’dan verilmiş user certificate zorunluluğu ile bu key lookup’ı birleştirme.

Certificate trust kullanıcı certificate’ı, güvenilen issuer, geçerlilik/iptal ve account mapping gibi kontroller ekler. Cloud trust bu PKI ve user-key-sync gereksinimlerini azaltır; on-prem DC’ye veya kaynak iznine duyulan ihtiyacı ortadan kaldırmaz.

Cloud başarılı, dosya başarısız: nereden başlarsın?

Önce effective trust policy ve yeni mi hazır mı kullanılan context’i belirle. Sonra partial/full TGT, writable DC erişimi, service ticket ve hedefteki kararı ayrı gözlemlerle ayır. Sadece device join etiketiyle bu zincirin tamamını doğrulayamazsın.

Microsoft Entra Kerberos’un AD’deki object ilişkisi RODC benzeri güven sınırı kullanır; ayrı bir şube RODC sunucusu değildir. Privileged-account restriction’ı uyumluluk uğruna kaldırma. Client/DC sürümü ve patch gereksinimlerini güncel deployment tablosundan doğrula; örnek lab sonucu değildir.

Durum ve veri akışı

1. Cihazdaki WHfB user key yerel gesture ile kullanılır.
2. Trust türü cloud, key veya certificate yolunu ve önkoşullarını belirler.
3. Cloud yolunda PRT ile partial TGT ayrı cloud nesneleridir.
4. Writable AD DC gerekli doğrulamadan sonra full AD TGT verir.
5. Resource SPN için service ticket edinilir ve servis tarafından doğrulanır.
6. Kaynak READ kararı ayrı authorization sınırıdır.

2. Exploitation / İstismar

Broken trust assumption

Cloud sign-in veya device join başarısını on-prem kimlik ve kaynak hakkı garantisi saymak.

Technical prerequisites

• Etki iddiası için ilgili target, effective hak ve observed context belirlenmiş olmalıdır.

Exploitation mechanism / İstismar mekanizması

Registration authority, trust object ve kaynak ACL farklı sahiplerin kontrolündedir. Birindeki fazla geniş writer hakkının etkisini başka bir authority’nin kararıyla karıştırma. Burada risk, kanıtlanan kayıt/yetki kapsamıyla sınırlanır; key kaydı veya mapping üzerinde müdahale tarifi yapılmaz.

Cloud sonucu AD kararı yerine geçmez

PRT mevcutsa cloud broker bağlamı vardır. Bu gözlem full AD TGT veya belirli resource SPN için ticket gördüğün anlamına gelmez. Kaynak yetkisi çıkarımı için hedefteki context ve istenen hak gerekir.

Yönetim sınırlarını birlikte düşün

User key registration ve Entra Kerberos trust yönetimi için change owner ve effective izinleri kaydet. Privileged-account korumasını kaldırmayı normal troubleshooting adımı sayma; işin durduğu authority’yi önce ayır.

3. Defense & Detection / Savunma ve tespit

Telemetry scope

• Join, effective trust policy, provisioning, cloud context, partial/full TGT ve target kararını ayrı sütunlara yaz. Aynı anda alınmamış gözlemleri tek bir sign-in sonucu gibi sunma.

Events and relevant fields

• Olay kayıtları yalnız uygun üretim/toplama koşullarında kendi producer’ının kararını gösterir; bütün erişim zincirini kanıtlamaz.

Kanıtın kapsamını koru

Join, effective trust policy, provisioning, cloud context, partial/full TGT ve target kararını ayrı sütunlara yaz. Aynı anda alınmamış gözlemleri tek bir sign-in sonucu gibi sunma.

Üretim ve toplama kapsamını bilmeden eksik olayı negatif kanıt sayma. Yeni davranışı ilgili owner’ın gözlemiyle doğrula.

Detection logic · XPath

*[System[(EventID=4768 or EventID=4769 or EventID=4624)]]

Query assumptions

• Bu seçim yalnız uygun Windows Security log’larındaki aday olayları seçer. Dersin JSON gözlem tablosu Windows event değildir.
• Join, effective trust policy, provisioning, cloud context, partial/full TGT ve target kararını ayrı sütunlara yaz. Aynı anda alınmamış gözlemleri tek bir sign-in sonucu gibi sunma.

False positives

• Meşru değişiklikler, cache/context kullanımı veya geçici bağlantı sorunu aynı belirtiyi üretebilir; bu seçim saldırı kararı vermez.

Hardening

• Trust policy precedence ve client/DC sürüm gereksinimlerini doğrula.
• İlk kullanım ile cached/hazır context’i ayır; writable DC bağımlılığını hedef ticket yolu üzerinde sınırla.
• Key registration ve trust administration yetkilerini dar tut; privileged-account kısıtlarını koru.

Örnekler üzerinde oku / Read the examples

{
  "kind": "teaching-record",
  "synthetic": true,
  "scenario": "N03",
  "clientRelease": "Windows 11 24H2 (exercise profile; exact build unspecified)",
  "join": "Entra hybrid joined",
  "trust": "cloud Kerberos trust",
  "cloudBrokerContext": "granted",
  "partialTGT": "available",
  "writableDCReachable": false,
  "fullADTGT": "not-observed",
  "targetServiceTicket": "not-observed",
  "existingTargetSession": false
}

İki yanlış kanı / Two reality checks

Sanılan: PRT varsa AD paylaşımı için gereken ticket da vardır.

Gerçekte: PRT cloud/broker bağlamıdır. Full AD TGT, resource service ticket ve READ hakkı ayrı koşullardır.

Sanılan: Cloud trust kullanınca on-prem DC’ye ihtiyaç kalmaz.

Gerçekte: Bu yeni-ticket yolunda partial TGT’nin full AD TGT’ye dönüşmesi writable DC gerektirir. Hazır context farklı başlangıç durumudur.

Kaynaklar / Sources

• WHfB authentication operation
  Microsoft Entra authentication; on-premises cloud/key/certificate trust flows
• Primary Refresh Token
  Key terminology; issuance/sign-in/renewal; CloudAP/WAM; device keys
• WHfB hybrid cloud Kerberos trust
  Prerequisites; Microsoft Entra Kerberos; policy; deployment validation; first sign-in
• WHfB deployment planning
  Deployment/trust types; PKI requirements; OS requirements table
• KB5014754 certificate mapping
  Timeline; strong/weak mapping; KDC event guidance; Schannel distinction