Windows Server 2025: الثقة أحادية الاتجاه لا تعزل غابة Active Directory

Windows Server 2025: الثقة أحادية الاتجاه لا تعزل غابة Active Directory

تقليديًا، كانت غابة Active Directory تُعتبر حدًا أمنيًا، بناءً على افتراض أن علاقات الثقة بين الغابات لا تمنح تحكمًا إداريًا على غابة أخرى. ومع ذلك، تُظهر الأبحاث أن هذا الافتراض ليس صالحًا دائمًا. يفحص Jorge's Quest For Knowledge تقنية معروفة سابقًا لإساءة استخدام الثقات أحادية الاتجاه (سواء ثقة غابة أو خارجية) من الغابة الواثقة، ويختبرها ضد إصدارات حديثة من Windows Server، بما في ذلك Windows Server 2025. الاستنتاج الرئيسي: على الرغم من إدخال آليات أمان جديدة، يظل الهجوم ممكنًا.

كيف تعمل التقنية؟ إذا حصل المهاجم على تحكم إداري على الغابة الواثقة، فيمكنه استخراج بيانات اعتماد الثقة (المفاتيح التشفيرية المرتبطة بحساب الثقة) من قاعدة بيانات NTDS.DIT الخاصة بالغابة. يمكن بعد ذلك استخدام بيانات الاعتماد هذه لطلب TGT لحساب الثقة في الغابة الموثوقة.

ما الذي تغير في Windows Server 2025؟ بشكل افتراضي، يكون لحساب الثقة primaryGroupID = 513، مما يعني أنه ينتمي إلى Domain Users. بمجرد إدخال أول وحدة تحكم مجال قابلة للكتابة (RWDC) بنظام Windows Server 2025 ونقل دور PDC FSMO إليها، يتم إنشاء مجموعتي أمان عامتين: • Forest Trust Accounts (RID 528)، لثقات الغابات • External Trust Accounts (RID 529)، للثقات الخارجية نتيجة لذلك، لم تعد الموارد المحمية بواسطة مجموعتي Domain Users أو Users متاحة لحسابات الثقة. كان من المتوقع أن تمنع هذه التغييرات أيضًا حسابات الثقة من المصادقة على المجال الموثوق وإجراء الاستطلاع. ومع ذلك، تُظهر الأبحاث أن هذا ليس هو الحال.

لماذا لا يزال الهجوم يعمل؟ اختبر الباحث ثلاثة سيناريوهات على وحدات تحكم مجال Windows Server 2022 و2025:

الاستنتاج: تغيير primaryGroupID من 513 إلى 528 أو 529 لا يعطّل حسابات الثقة ولا يمنع المصادقة. طالما أن خوارزمية تشفير مدعومة (AES128 أو AES256) متاحة، يمكن للمهاجم لا يزال الحصول على TGT لحساب الثقة. لا يُشترط RC4.

المقال: https://jorgequestforknowledge.wordpress.com/2026/07/09/the-ad-forest-as-a-security-boundary-and-the-impact-of-trusts-on-that-security-boundary-the-revisited-still-insecure-sequel/