Kerberos

Sécurité et identité

DCSync: lire la réplication MS-DRSR dans Wireshark

DCSync vu de l'intérieur: droits de réplication, appel DRSUAPI GetNCChanges déchiffré dans Wireshark et événement 4662 sur le contrôleur de domaine.

Sécurité et identité

Silver ticket: forger un ticket de service sur maquette

Ce que contient un ticket de service, pourquoi la clé du compte de service suffit à le forger, et les traces qui restent sur le serveur quand le KDC ne voit rien.

Sécurité et identité

Kerberos: lire un KRB_ERROR et ses codes d’erreur

Lire un KRB_ERROR Kerberos dans Wireshark et avec klist: PREAUTH_REQUIRED, SPN en double, décalage d'horloge, ETYPE_NOSUPP, leurs causes et leur détection.

Sécurité et identité

Kerberos FAST: lire un AS-REQ protégé par armoring

Comment le TGT machine blinde la pré-authentification Kerberos (RFC 6113), ce que l'on voit dans Wireshark et ce que FAST ne protège pas.

IA frontier

Agent Skills Claude: un skill d’analyse Kerberos

Nous écrivons un Agent Skill Claude qui analyse une sortie klist: SKILL.md, script Python, références, chargement progressif et appel via l'API Claude.

Sécurité et identité

CVE-2026-69676: lire l’avis Kerberos de septembre 2026

Septembre 2026 apporte une RCE dans Windows Kerberos. Ce que dit l'avis, où se situe la faille dans le flux et quoi vérifier côté correctifs et journaux.

Sécurité et identité

Pourquoi Kerberos retombe en NTLM: diagnostic sur maquette

SPN absent ou dupliqué, accès par IP ou CNAME, horloge décalée: quatre pannes provoquées sur maquette pour prouver qui de Kerberos ou NTLM a authentifié.

Sécurité et identité

PKINIT: lire un AS-REQ Kerberos signé par certificat

Comment PKINIT remplace la clé dérivée du mot de passe par une signature de certificat dans le KRB_AS_REQ, et pourquoi le PAC transporte encore le hash NTLM.

SAP

SSO Kerberos vers SAP GUI et SAP NetWeaver: SNC, SPN et keytab expliqués

Fonctionnement de SNC avec Kerberos vers un serveur ABAP: compte de service, SPN, keytab dans le PSE, paramètres snc/*, mapping des utilisateurs et diagnostic.

Sécurité et identité

Kerberos: lire un ticket de service avec klist et Wireshark, du KRB_TGS_REQ au PAC validé

Décortiquons un échange TGS-REQ/TGS-REP sur maquette AD: etypes, kvno, ticket chiffré et PAC, avec les filtres Wireshark, klist et l'événement 4769.