{"id":1265,"date":"2026-10-28T15:12:07","date_gmt":"2026-10-28T14:12:07","guid":{"rendered":"https:\/\/remivernier.com\/?p=1265"},"modified":"2026-10-28T18:49:49","modified_gmt":"2026-10-28T17:49:49","slug":"anatomie-primary-refresh-token-entra-id","status":"publish","type":"post","link":"https:\/\/remivernier.com\/index.php\/2026\/10\/28\/anatomie-primary-refresh-token-entra-id\/","title":{"rendered":"Anatomie du Primary Refresh Token Entra ID"},"content":{"rendered":"

Quand nous ouvrons une session sur un poste joint \u00e0 Entra ID, nous arrivons sur Teams, Outlook et le portail web sans jamais ressaisir nos identifiants. Ce SSO tient \u00e0 un artefact unique, le Primary Refresh Token<\/em> (PRT). C’est l’\u00e9quivalent, c\u00f4t\u00e9 Entra, du TGT que nous avions lu dans l’article sur Kerberos<\/a>: un jeton de longue dur\u00e9e qui en d\u00e9bloque d’autres.<\/p>\n

Regarder sa structure, o\u00f9 vivent ses cl\u00e9s et comment il signe ses requ\u00eates, c’est comprendre d’un m\u00eame mouvement pourquoi il est si pratique et o\u00f9 se situe le risque. Les m\u00e9canismes d\u00e9crits ici sont ceux que Microsoft documente pour Windows; les captures de poste r\u00e9el ne sont pas n\u00e9cessaires, dsregcmd<\/code> et la documentation suffisent.<\/p>\n

Le PRT, un TGT pour le cloud<\/h2>\n

Le PRT est d\u00e9livr\u00e9 aux \u00ab brokers \u00bb de jetons de Microsoft (CloudAP et WAM sur Windows) pour assurer le SSO. Du point de vue du poste, c’est un blob chiffr\u00e9 que le client ne sait pas lire: seul Entra ID en conna\u00eet le contenu. Il est \u00e9mis pendant l’ouverture de session Windows sur un appareil joint ou joint hybride, par le plugin CloudAP, puis le plugin WAM s’en sert pour obtenir des jetons d’acc\u00e8s et de rafra\u00eechissement pour chaque application.<\/p>\n

Sa dur\u00e9e de vie est de 90 jours, renouvel\u00e9 toutes les 4 heures tant que l’appareil sert. Surtout, il transporte des revendications d’appareil et d’utilisateur, dont la revendication MFA, qu’Entra ID \u00e9value ensuite pour l’acc\u00e8s conditionnel. Un d\u00e9tail lourd de cons\u00e9quences: l’acc\u00e8s conditionnel n’est pas<\/em> \u00e9valu\u00e9 au moment o\u00f9 le PRT est \u00e9mis ou renouvel\u00e9, seulement quand on s’en sert pour demander un jeton d’application.<\/p>\n

Deux paires de cl\u00e9s et le TPM<\/h2>\n

Tout repose sur l’enregistrement de l’appareil, qui g\u00e9n\u00e8re deux paires de cl\u00e9s: la cl\u00e9 d’appareil (dkpub\/dkpriv) et la cl\u00e9 de transport (tkpub\/tkpriv). Les parties priv\u00e9es sont scell\u00e9es dans le TPM quand il y en a un.<\/p>\n

En m\u00eame temps que le PRT, Entra ID \u00e9met une cl\u00e9 de session<\/strong> sym\u00e9trique, chiffr\u00e9e avec la cl\u00e9 de transport publique (tkpub). Le poste ne peut la d\u00e9chiffrer qu’avec tkpriv, \u00e0 l’int\u00e9rieur du TPM, qui la re-chiffre aussit\u00f4t avec sa propre cl\u00e9 avant que CloudAP ne la range dans son cache. Cette cl\u00e9 de session est la cl\u00e9 de preuve de possession de toutes les requ\u00eates li\u00e9es au PRT, et elle est aussi incluse dans le PRT lui-m\u00eame. La documentation est explicite: \u00ab no other OS component can access it \u00bb<\/em>. Sur un poste avec TPM, la cl\u00e9 de session ne se prom\u00e8ne donc jamais en clair hors du module.<\/p>\n

Comment cette cl\u00e9 arrive-t-elle sur le poste? La c\u00e9r\u00e9monie d’\u00e9mission, que Microsoft documente \u00e9tape par \u00e9tape, tient en cinq temps. \u00c0 l’ouverture de session, CloudAP d\u00e9couvre le fournisseur d’identit\u00e9 de l’utilisateur, obtient un nonce d’Entra, puis construit une requ\u00eate d’authentification \u2014 identifiants et nonce \u2014 qu’il signe avec la cl\u00e9 d’appareil (dkpriv). Entra valide le tout, puis renvoie le PRT chiffr\u00e9 accompagn\u00e9 de la cl\u00e9 de session, elle-m\u00eame chiffr\u00e9e avec la cl\u00e9 de transport publique (tkpub). Le poste ne peut rien en faire sans le TPM, qui seul d\u00e9tient tkpriv.<\/p>\n

\n\nPoste Windows \u2014 CloudAP<\/text>\nEntra ID<\/text>\n\n\n\n1. Identifiants saisis, CloudAP<\/text>\nd\u00e9couvre le fournisseur (realm)<\/text>\n\n2. demande de nonce<\/text>\n\nnonce<\/text>\n\n3. requ\u00eate sign\u00e9e avec<\/text>\nla cl\u00e9 d’appareil (dkpriv)<\/text>\nidentifiants + nonce<\/text>\n\n\n4. Entra valide identifiants,<\/text>\nnonce et signature d’appareil<\/text>\n\u00e9met le PRT chiffr\u00e9 + la cl\u00e9 de session<\/text>\n(chiffr\u00e9e avec tkpub, incluse dans le PRT)<\/text>\n\nPRT + cl\u00e9 de session<\/text>\n\nTPM<\/text>\n5. d\u00e9chiffre la cl\u00e9 (tkpriv),<\/text>\nla re-chiffre avec sa cl\u00e9<\/text>\nCloudAP met PRT + cl\u00e9 en cache<\/text>\n<\/marker><\/defs>\n<\/svg>
\n<\/figure>\n

\u00c9mission du PRT \u00e0 l’ouverture de session: la cl\u00e9 de session n’existe en clair que le temps d’un passage dans le TPM.<\/em><\/p>\n

Ce PRT vaut 90 jours et CloudAP le renouvelle toutes les 4 heures tant que le poste sert; chaque renouvellement est sign\u00e9 par la cl\u00e9 de session, pas par les identifiants, si bien qu’un poste actif ne redemande jamais le mot de passe. Il existe deux variantes: le PRT d’appareil enregistr\u00e9<\/em>, li\u00e9 \u00e0 une identit\u00e9 d’appareil dans Entra et seul \u00e0 satisfaire les politiques d’appareil de l’acc\u00e8s conditionnel, et le PRT d’appareil non enregistr\u00e9<\/em>, rattach\u00e9 \u00e0 une simple paire de cl\u00e9s locale \u2014 par exemple un navigateur sur un poste personnel. C’est le premier qui nous int\u00e9resse ici: c’est lui qui porte la confiance de l’appareil, et donc la valeur qu’un attaquant convoite.<\/p>\n

Lire l’\u00e9tat du PRT avec dsregcmd<\/h3>\n

La commande dsregcmd \/status<\/code>, lanc\u00e9e dans le contexte de l’utilisateur, donne l’essentiel sans rien d\u00e9coder. Le bloc \u00ab SSO State \u00bb indique la pr\u00e9sence du PRT, le bloc \u00ab Device Details \u00bb indique si les cl\u00e9s sont dans le TPM:<\/p>\n

+----------------------------------------------------------+\n| Device Details                                           |\n+----------------------------------------------------------+\n               KeyProvider : Microsoft Platform Crypto Provider\n              TpmProtected : YES\n          DeviceAuthStatus : SUCCESS\n\n+----------------------------------------------------------+\n| SSO State                                                |\n+----------------------------------------------------------+\n                AzureAdPrt : YES\n      AzureAdPrtUpdateTime : 2026-10-28 06:12:44.000 UTC\n      AzureAdPrtExpiryTime : 2027-01-26 06:12:44.000 UTC\n       AzureAdPrtAuthority : https:\/\/login.microsoftonline.com\/<tenant><\/code><\/pre>\n
AzureAdPrt: YES<\/code> confirme qu’un PRT est pr\u00e9sent pour l’utilisateur connect\u00e9. Les deux lignes \u00e0 surveiller sont TpmProtected<\/code> et KeyProvider<\/code>: Microsoft Platform Crypto Provider<\/em> avec TpmProtected: YES<\/code> veut dire que les cl\u00e9s sont dans le mat\u00e9riel; Microsoft Software Key Storage Provider<\/em> avec TpmProtected: NO<\/code> veut dire qu’elles sont en logiciel, et nous verrons que l’\u00e9cart de robustesse est \u00e9norme.<\/p>\n
Le cookie x-ms-RefreshTokenCredential et le SSO web<\/h2>\n
Le plus instructif est le SSO vers un site web, car c’est l\u00e0 qu’un objet sign\u00e9 circule. Quand le navigateur ouvre une page de connexion Entra, une extension (native dans Edge, via l’extension \u00ab Microsoft Single Sign On \u00bb dans Chrome) reconna\u00eet l’URL et appelle un h\u00f4te natif local, BrowserCore.exe<\/code>. Celui-ci demande \u00e0 CloudAP un cookie de PRT, que CloudAP fabrique et signe avec la cl\u00e9 de session scell\u00e9e par le TPM<\/strong>. Le cookie repart dans l’en-t\u00eate x-ms-RefreshTokenCredential<\/code> vers login.microsoftonline.com<\/code>.<\/p>\n
\n\n\nOuverture de session Windows<\/text>\nidentifiants → CloudAP<\/text>\n\nCloudAP : PRT<\/text>\n+ cl\u00e9 de session<\/text>\nscell\u00e9e par le TPM<\/text>\n\nTPM<\/text>\ncl\u00e9 de session jamais en clair<\/text>\n\n\n\n\nBrowserCore.exe<\/text>\nfabrique le cookie, sign\u00e9<\/text>\n\nNavigateur<\/text>\nnonce de la page<\/text>\n\nx-ms-RefreshToken-<\/text>\nCredential<\/text>\n→ login.microsoftonline.com<\/text>\n\nEntra ID valide<\/text>\nsignature + nonce + appareil<\/text>\n\n\ncookie<\/text>\n\n\njetons + cookie li\u00e9 \u00e0 l’appareil<\/text>\n<\/marker><\/defs>\n<\/svg>
\n<\/figure>\n
SSO web par PRT: le cookie est sign\u00e9 dans le TPM, jamais le secret lui-m\u00eame.<\/em><\/p>\n
Entra ID v\u00e9rifie la signature de la cl\u00e9 de session, le nonce (qui lie le cookie \u00e0 une ouverture de session pr\u00e9cise) et la validit\u00e9 de l’appareil, puis renvoie un jeton d’identit\u00e9 et un cookie de session. Ce cookie de session est lui aussi li\u00e9 \u00e0 la cl\u00e9 de session ou d’appareil: rejou\u00e9 depuis une autre machine, il est refus\u00e9. Nous retrouvons l’id\u00e9e vue avec les passkeys<\/a>: ce qui prot\u00e8ge, c’est la liaison cryptographique, pas le secret partag\u00e9.<\/p>\n
Qui g\u00e8re le PRT: CloudAP, WAM et les brokers<\/h2>\n
Le PRT n’est jamais manipul\u00e9 par les applications elles-m\u00eames. Entre elles et Entra ID s’intercalent des composants Microsoft sp\u00e9cialis\u00e9s, et savoir qui fait quoi \u00e9claire autant le fonctionnement que la surface d’attaque.<\/p>\n
Sur Windows.<\/strong> Tout part de CloudAP<\/strong> (Cloud Authentication Provider), le fournisseur d’authentification moderne charg\u00e9 dans le processus LSASS \u00e0 l’ouverture de session. Le plugin CloudAP Microsoft Entra<\/em> est l’autorit\u00e9 du PRT sur un poste joint ou joint hybride: c’est lui qui le demande, le met en cache et le renouvelle. Quand une application veut un jeton, elle ne parle pas \u00e0 Entra directement mais \u00e0 WAM<\/strong> (Web Account Manager), le courtier de jetons de Windows; le plugin WAM Microsoft Entra<\/em> se sert alors du PRT pour obtenir jetons d’acc\u00e8s et de rafra\u00eechissement, et c’est lui aussi qui injecte le PRT dans les requ\u00eates du navigateur. Un troisi\u00e8me composant, Dsreg<\/strong>, g\u00e8re l’enregistrement de l’appareil et les cl\u00e9s d\u00e9crites plus haut.<\/p>\n
Le cas du navigateur.<\/strong> Edge sait parler nativement \u00e0 ces courtiers. Chrome, lui, a besoin de l’extension \u00ab Microsoft Single Sign On \u00bb<\/strong> \u2014 l’ancienne \u00ab Windows 10 Accounts \u00bb, d’o\u00f9 le nom de broker \u00ab W10 account \u00bb qu’on croise encore (identifiant ppnbnpeolgkicgegkbkbjmhlideopiji<\/code>). Cette extension appelle, par le native messaging<\/em> de Chrome, l’h\u00f4te natif BrowserCore.exe<\/code> qui, lui, a le droit de demander un cookie de PRT \u00e0 CloudAP. Firefox depuis la version 91 fait de m\u00eame via un r\u00e9glage \u00ab Windows SSO \u00bb. Sous le capot, c’est l’API Windows IProofOfPossessionCookieInfoManager<\/code> qui produit l’en-t\u00eate sign\u00e9.<\/p>\n
Hors de Windows.<\/strong> Le m\u00eame r\u00f4le de courtier est tenu par une application selon la plateforme: Microsoft Authenticator<\/strong> sur iOS, Intune Company Portal<\/strong> accompagn\u00e9 du plugin SSO entreprise<\/em> (ou le Platform SSO) sur macOS, et Authenticator, Company Portal ou Link to Windows sur Android. Sur Mac, le courtier n’est actif que si l’appareil est g\u00e9r\u00e9 par MDM et que le profil d’extension SSO est d\u00e9ploy\u00e9. Partout l’id\u00e9e est la m\u00eame: une brique Microsoft de confiance d\u00e9tient le PRT et le transforme en jetons pour les applications, sans jamais exposer les cl\u00e9s.<\/p>\n
O\u00f9 se situe le risque: pass-the-PRT<\/h2>\n
Le point faible n’est pas la cryptographie, c’est l’architecture: un broker tourne sur le poste et transforme le PRT en jetons pour qui le lui demande dans le bon contexte. Quiconque ex\u00e9cute du code sous l’identit\u00e9 de l’utilisateur<\/em> peut donc solliciter ce m\u00eame broker. Dirk-jan Mollema l’a montr\u00e9 d\u00e8s 2020 dans son analyse de r\u00e9f\u00e9rence<\/a>: demander un cookie de PRT via BrowserCore.exe<\/code> ne r\u00e9clame pas de droits d’administrateur, seulement l’ex\u00e9cution de code dans la session. C’est du post-exploitation, pas de l’acc\u00e8s initial: l’attaquant est d\u00e9j\u00e0 sur le poste.<\/p>\n
Ce qu’il obtient est un cookie x-ms-RefreshTokenCredential<\/code>, donc des jetons qui portent d\u00e9j\u00e0 les revendications MFA et appareil, et satisfont un acc\u00e8s conditionnel exigeant le MFA ou un appareil conforme. Des outils publics automatisent cette demande de cookie \u2014 ROADtoken, RequestAADRefreshToken de Lee Christensen, ou roadtx<\/code> de la suite ROADtools \u2014 en interrogeant le m\u00eame h\u00f4te natif que le navigateur. Je les cite pour que vous sachiez ce que vous verrez dans un rapport d’incident; je ne d\u00e9taille pas leur mise en \u0153uvre.<\/p>\n
Reste la voie plus brutale: extraire le PRT et la cl\u00e9 de session eux-m\u00eames. C’est l\u00e0 que le TPM change tout. Sur un poste TpmProtected: YES<\/code>, la cl\u00e9 de session est scell\u00e9e: un attaquant m\u00eame administrateur peut tout au plus l’utiliser sur la machine, pas la copier ailleurs. Sur un poste sans TPM (Software Key Storage Provider<\/em>), les cl\u00e9s sont r\u00e9cup\u00e9rables avec des droits \u00e9lev\u00e9s, et des outils comme Mimikatz savent le faire. La ligne TpmProtected<\/code> de dsregcmd<\/code> n’est donc pas cosm\u00e9tique: elle s\u00e9pare \u00ab il faut rester sur le poste \u00bb de \u00ab on emporte le jeton \u00bb.<\/p>\n
L’impact est le m\u00eame que pour un relais NTLM<\/a>: la force de la preuve initiale ne compte plus si le jeton qu’elle produit peut \u00eatre r\u00e9utilis\u00e9. Pire, d\u00e9sactiver l’appareil dans Entra ID n’invalide pas les jetons de rafra\u00eechissement d\u00e9j\u00e0 \u00e9mis \u00e0 partir du PRT; il faut une r\u00e9vocation explicite.<\/p>\n
Pour mesurer le rayon d’impact, il faut voir le PRT comme une cl\u00e9 ma\u00eetresse temporaire. Un mot de passe vol\u00e9 ouvre une porte mais bute encore sur le MFA; un PRT compromis livre une session qui a d\u00e9j\u00e0 franchi le MFA et porte la confiance de l’appareil. L’attaquant h\u00e9rite de la posture de s\u00e9curit\u00e9 du poste l\u00e9gitime: il ne contourne pas les contr\u00f4les, il passe au travers parce qu’ils ont d\u00e9j\u00e0 \u00e9t\u00e9 satisfaits. MITRE ATT&CK range cette r\u00e9utilisation sous la technique T1550.001 (Use Alternate Authentication Material: Application Access Token<\/em>), parmi les mouvements qui \u00e9chappent aux d\u00e9fenses d’authentification classiques. Ce n’est pas th\u00e9orique: les campagnes adversary-in-the-middle de ces derni\u00e8res ann\u00e9es combinent un proxy de phishing pour la premi\u00e8re session et le vol de jetons pour la persistance, ce qui a fait de ces jetons une cible de premier plan.<\/p>\n
Le sc\u00e9nario de compromission, de bout en bout<\/h2>\n
Pour saisir le risque, suivons un vol de PRT comme une cha\u00eene, de l’entr\u00e9e \u00e0 la persistance. Le PRT n’est jamais une voie d’acc\u00e8s initial: il suppose que l’attaquant ex\u00e9cute d\u00e9j\u00e0 du code sur le poste. C’est une arme de post-exploitation, et c’est pr\u00e9cis\u00e9ment ce qui la rend redoutable, car elle h\u00e9rite de tout ce que le poste a de l\u00e9gitime.<\/p>\n
\n\n\n1. Pied dans la place<\/text>\nex\u00e9cution de code sous l’identit\u00e9 de l’utilisateur (phishing, malware, AiTM)<\/text>\n\n2. Solliciter le broker<\/text>\ncookie de PRT demand\u00e9 en contexte utilisateur, sans droits d’administrateur<\/text>\n\n3. Sortir de la bo\u00eete<\/text>\njetons utilis\u00e9s depuis l’infrastructure de l’attaquant, hors du poste<\/text>\n\n4. Impact<\/text>\nMFA et revendication d’appareil d\u00e9j\u00e0 satisfaits : franchit l’acc\u00e8s conditionnel<\/text>\n\n5. Persistance<\/text>\nles jetons de rafra\u00eechissement survivent \u00e0 la d\u00e9sactivation de l’appareil<\/text>\n\n\n\n\n<\/marker><\/defs>\n<\/svg>
\n<\/figure>\n
La cha\u00eene d’un vol de PRT : post-exploitation, pas acc\u00e8s initial. Chaque \u00e9tape h\u00e9rite de la l\u00e9gitimit\u00e9 du poste.<\/em><\/p>\n
Le pied dans la place.<\/strong> L’attaquant obtient d’abord l’ex\u00e9cution de code sous l’identit\u00e9 de l’utilisateur: pi\u00e8ce jointe pi\u00e9g\u00e9e, logiciel malveillant, ou proxy adversary-in-the-middle qui capte une premi\u00e8re session. \u00c0 ce stade il est sur un poste, dans une session ouverte, rien de plus.<\/p>\n
Solliciter le broker.<\/strong> C’est l’\u00e9tape qui distingue le PRT d’un simple vol de mot de passe. Plut\u00f4t que de chercher un secret, l’attaquant demande au broker local ce que celui-ci sait faire: produire un cookie de PRT pour une page de connexion. En contexte utilisateur, via l’h\u00f4te natif d\u00e9crit plus haut, cela ne r\u00e9clame pas de droits d’administrateur. Avec une \u00e9l\u00e9vation, il peut viser plus bas, les cl\u00e9s elles-m\u00eames, et c’est l\u00e0 que le TPM l’arr\u00eate.<\/p>\n
Sortir de la bo\u00eete.<\/strong> Le cookie, ou les jetons qu’il permet d’obtenir, servent ensuite \u00e0 s’authentifier comme l’utilisateur vers Microsoft 365 ou Azure, depuis l’infrastructure de l’attaquant.<\/p>\n
Ce que \u00e7a rapporte.<\/strong> C’est le n\u0153ud du probl\u00e8me: ces jetons portent d\u00e9j\u00e0 les revendications MFA et appareil du poste l\u00e9gitime. Ils franchissent donc un acc\u00e8s conditionnel qui exige le MFA ou un appareil conforme, sans que l’attaquant n’ait jamais vu de second facteur. Il n’a pas contourn\u00e9 le MFA, il a h\u00e9rit\u00e9 d’une session qui l’avait d\u00e9j\u00e0 pass\u00e9. Un mot de passe vol\u00e9 ouvre une porte; un PRT vol\u00e9 livre la session enti\u00e8re, MFA compris.<\/p>\n
La persistance.<\/strong> Les jetons de rafra\u00eechissement d\u00e9riv\u00e9s du PRT vivent longtemps, et d\u00e9sactiver l’appareil dans Entra ID n’invalide pas ceux d\u00e9j\u00e0 \u00e9mis. Sans r\u00e9vocation explicite, l’acc\u00e8s survit au nettoyage du poste. C’est pourquoi la r\u00e9ponse \u00e0 incident ne peut pas se limiter \u00e0 r\u00e9installer la machine, et c’est l’objet de la derni\u00e8re section.<\/p>\n
L’acc\u00e8s conditionnel, l\u00e0 o\u00f9 les revendications comptent<\/h2>\n
Si le PRT a autant de valeur, c’est \u00e0 cause de ce qu’il transporte pour l’acc\u00e8s conditionnel. Un PRT porte des revendications d’appareil (l’appareil est-il enregistr\u00e9, conforme, joint hybride?) et, selon la fa\u00e7on dont l’utilisateur s’est authentifi\u00e9, une revendication MFA. Quand le plugin WAM \u00e9change le PRT contre un jeton d’application, ces revendications passent dans le jeton, et c’est \u00e0 ce moment \u2014 pas \u00e0 l’\u00e9mission du PRT \u2014 qu’Entra ID \u00e9value les politiques d’acc\u00e8s conditionnel.<\/p>\n
Ce d\u00e9tail de calendrier a deux cons\u00e9quences. D’abord, activer une politique apr\u00e8s coup ne rejoue pas les PRT d\u00e9j\u00e0 \u00e9mis: l’\u00e9valuation se fait au prochain \u00e9change de jeton. Ensuite, et c’est le c\u0153ur du risque, un attaquant qui r\u00e9utilise un PRT h\u00e9rite de ses revendications: le jeton qu’il obtient pr\u00e9sente d\u00e9j\u00e0 le MFA et la conformit\u00e9 de l’appareil, et franchit donc une politique qui les exige.<\/p>\n
C’est pourquoi l’acc\u00e8s conditionnel est \u00e0 la fois la cible et la d\u00e9fense. C\u00f4t\u00e9 d\u00e9fense, plusieurs leviers s’empilent: exiger un appareil conforme<\/strong> ou joint hybride pour acc\u00e9der aux ressources; la Token Protection<\/strong>, un contr\u00f4le de session qui n’accepte qu’un jeton li\u00e9 cryptographiquement \u00e0 l’appareil; une fr\u00e9quence de connexion<\/strong> qui force une r\u00e9authentification p\u00e9riodique; un contexte d’authentification<\/strong> qui r\u00e9clame une authentification interactive r\u00e9sistante au phishing pour les op\u00e9rations sensibles, comme l’activation d’un r\u00f4le dans PIM; et des politiques bas\u00e9es sur le risque<\/strong> qui, sur un jeton anormal, exigent une r\u00e9authentification que l’attaquant ne peut pas produire. Aucun de ces leviers n’est \u00e9valu\u00e9 \u00e0 l’\u00e9mission du PRT: ils ne mordent qu’au moment o\u00f9 le jeton sert, ce qui en fait le bon endroit pour arr\u00eater un jeton vol\u00e9.<\/p>\n
D\u00e9fenses<\/h2>\n
\n\n\n\nR\u00e9duire la surface<\/text>\n\u2022 TPM obligatoire<\/text>\n\u2022 Defender for Endpoint<\/text>\n\u2022 Conformit\u00e9 Intune (CA)<\/text>\n\u2022 Credential Guard<\/text>\n\u2022 Filtrage web (GSA)<\/text>\nrendre le vol plus<\/text>\ndifficile<\/text>\n\n\nD\u00e9tecter & att\u00e9nuer<\/text>\n\u2022 Identity Protection<\/text>\n(Anomalous Token\u2026)<\/text>\n\u2022 Defender XDR (AiTM)<\/text>\n\u2022 Journaux non interactifs<\/text>\n\u2022 Acc\u00e8s conditionnel<\/text>\nbas\u00e9 sur le risque<\/text>\nrep\u00e9rer la compromission<\/text>\n\n\nEmp\u00eacher le rejeu<\/text>\n\u2022 Token Protection<\/text>\n(jeton li\u00e9 \u00e0 l’appareil)<\/text>\n\u2022 R\u00e9seau conforme (GSA)<\/text>\n\u2022 CAE<\/text>\n(r\u00e9vocation quasi<\/text>\ntemps r\u00e9el)<\/text>\nneutraliser le jeton vol\u00e9<\/text>\nD\u00e9fense en profondeur contre le vol de jetons<\/text>\n<\/svg>
\n<\/figure>\n
Les trois temps de la d\u00e9fense selon Microsoft : r\u00e9duire la surface, d\u00e9tecter, emp\u00eacher le rejeu.<\/em><\/p>\n
La premi\u00e8re d\u00e9fense est mat\u00e9rielle: exiger le TPM. Un parc en TpmProtected: YES<\/code> fait passer le vol de \u00ab copier un blob \u00bb \u00e0 \u00ab compromettre durablement la machine \u00bb. C’est le socle sur lequel tout le reste s’appuie.<\/p>\n
La deuxi\u00e8me est la Token Protection<\/a> (protection des jetons), un contr\u00f4le de session de l’acc\u00e8s conditionnel qui n’accepte que des jetons de session li\u00e9s \u00e0 l’appareil: un jeton vol\u00e9 est refus\u00e9 depuis un autre poste. Elle est en disponibilit\u00e9 g\u00e9n\u00e9rale pour les applications natives sous Windows (Exchange Online, SharePoint Online, Teams, plus AVD et Windows 365), encore en pr\u00e9version pour le navigateur et limit\u00e9e \u00e0 Azure Resource Manager. Elle demande Entra ID P2 \u00e0 la disponibilit\u00e9 g\u00e9n\u00e9rale, et Microsoft recommande de la d\u00e9ployer d’abord en mode \u00ab report-only \u00bb pour mesurer la compatibilit\u00e9 des applications.<\/p>\n
Le reste rel\u00e8ve de la d\u00e9fense en profondeur: acc\u00e8s conditionnel exigeant un appareil conforme ou joint hybride et tenant compte du risque de connexion; surveillance des journaux de connexion pour rep\u00e9rer un PRT utilis\u00e9 depuis un appareil inattendu ou un voyage impossible; r\u00e9duction de la surface d’ex\u00e9cution de code (moins d’administrateurs locaux, Credential Guard, EDR sur le broker). Et en cas de doute, la seule r\u00e9ponse fiable est la r\u00e9vocation des jetons de rafra\u00eechissement (horodatage refreshTokensValidFromDateTime<\/code>, via revokeSignInSessions<\/em> dans Graph) et, pour un PRT obtenu par mot de passe, le changement de mot de passe.<\/p>\n
D\u00e9tecter et r\u00e9pondre<\/h2>\n
Microsoft range la d\u00e9fense contre le vol de jetons en trois temps: r\u00e9duire la surface, d\u00e9tecter et att\u00e9nuer, emp\u00eacher le rejeu. Le premier temps est celui des d\u00e9fenses vues plus haut, TPM et Token Protection en t\u00eate. Restent la d\u00e9tection et la r\u00e9ponse, car aucun durcissement n’est parfait, et la documentation de Microsoft sur la protection des jetons<\/a> les d\u00e9crit en d\u00e9tail.<\/p>\n
D\u00e9tecter.<\/strong> Un PRT rejou\u00e9 ne ressemble pas tout \u00e0 fait \u00e0 une connexion normale, et c’est l\u00e0 que \u00e7a se voit. Entra ID Protection l\u00e8ve des d\u00e9tections d\u00e9di\u00e9es \u2014 \u00ab Anomalous Token \u00bb, \u00ab Attacker in the Middle \u00bb, \u00ab Unfamiliar sign-in properties \u00bb \u2014 et Microsoft Defender XDR, via les connecteurs Defender for Cloud Apps, alerte \u00ab Stolen session cookie was used \u00bb quand un cookie de session est rejou\u00e9. Sur le poste, Defender for Endpoint d\u00e9tecte les tentatives d’acc\u00e8s aux artefacts du PRT sous Windows. C\u00f4t\u00e9 journaux, c’est dans les connexions non interactives qu’il faut chercher: une m\u00eame session vue depuis plusieurs adresses IP ou pays, ou un encha\u00eenement jeton de rafra\u00eechissement puis PRT depuis le m\u00eame appareil en moins d’une heure, trahissent un rejeu. Le guide de r\u00e9ponse au vol de jetons<\/a> de Microsoft d\u00e9taille la marche \u00e0 suivre.<\/p>\n
Un atout du nonce.<\/strong> Le cookie de PRT est li\u00e9 \u00e0 un nonce de la page de connexion. Un cookie captur\u00e9 une fois expire donc vite; pour en produire \u00e0 volont\u00e9, l’attaquant doit garder son ex\u00e9cution de code sur le poste, ce qui multiplie les occasions de le rep\u00e9rer par l’EDR. La liaison cryptographique ne se contente pas de compliquer le rejeu, elle force l’attaquant \u00e0 rester visible.<\/p>\n
R\u00e9pondre.<\/strong> D\u00e9sactiver l’appareil ne suffit pas. La seule coupure fiable est la r\u00e9vocation des jetons de rafra\u00eechissement \u2014 l’horodatage refreshTokensValidFromDateTime<\/code>, pos\u00e9 par revokeSignInSessions<\/em> dans Graph \u2014 doubl\u00e9e d’un changement de mot de passe pour un PRT obtenu par mot de passe. Les applications compatibles Continuous Access Evaluation (CAE) appliquent cette r\u00e9vocation en quasi temps r\u00e9el, et un score de risque utilisateur \u00e9lev\u00e9 peut d\u00e9clencher automatiquement le blocage ou la r\u00e9initialisation du compte. Associ\u00e9e \u00e0 la Token Protection, cette r\u00e9ponse ram\u00e8ne la fen\u00eatre d’exploitation de quelques jours \u00e0 quelques minutes.<\/p>\n
Le PRT est la charni\u00e8re entre l’ouverture de session Windows et le SSO web. Bien scell\u00e9e dans le TPM, prot\u00e9g\u00e9e par la Token Protection et r\u00e9vocable, elle reste une commodit\u00e9. N\u00e9glig\u00e9e sur un poste sans TPM et sans r\u00e9vocation, elle devient un passe-partout.<\/p>\n","protected":false},"excerpt":{"rendered":"
Structure du PRT d’Entra ID, cl\u00e9 de session scell\u00e9e par le TPM, cookie x-ms-RefreshTokenCredential, risque pass-the-PRT et d\u00e9fenses (Token Protection, r\u00e9vocation).<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[11],"tags":[80,84,9,85],"class_list":["post-1265","post","type-post","status-publish","format-standard","hentry","category-active-directory","tag-entra-id","tag-prt","tag-sso","tag-tpm"],"yoast_head":"\nAnatomie du Primary Refresh Token Entra ID - R\u00e9mi VERNIER<\/title>\n<meta name=\"description\" content=\"Structure du PRT d'Entra ID, cl\u00e9 de session scell\u00e9e par le TPM, cookie x-ms-RefreshTokenCredential, risque pass-the-PRT et d\u00e9fenses (Token Protection, r\u00e9vocation).\" \/>\n<meta name=\"robots\" content=\"index, follow, max-snippet:-1, max-image-preview:large, max-video-preview:-1\" \/>\n<link rel=\"canonical\" href=\"https:\/\/remivernier.com\/index.php\/2026\/10\/28\/anatomie-primary-refresh-token-entra-id\/\" \/>\n<meta property=\"og:locale\" content=\"fr_FR\" \/>\n<meta property=\"og:type\" content=\"article\" \/>\n<meta property=\"og:title\" content=\"Anatomie du Primary Refresh Token Entra ID - R\u00e9mi VERNIER\" \/>\n<meta property=\"og:description\" content=\"Structure du PRT d'Entra ID, cl\u00e9 de session scell\u00e9e par le TPM, cookie x-ms-RefreshTokenCredential, risque pass-the-PRT et d\u00e9fenses (Token Protection, r\u00e9vocation).\" \/>\n<meta property=\"og:url\" content=\"https:\/\/remivernier.com\/index.php\/2026\/10\/28\/anatomie-primary-refresh-token-entra-id\/\" \/>\n<meta property=\"og:site_name\" content=\"R\u00e9mi VERNIER\" \/>\n<meta property=\"article:published_time\" content=\"2026-10-28T14:12:07+00:00\" \/>\n<meta property=\"article:modified_time\" content=\"2026-10-28T17:49:49+00:00\" \/>\n<meta name=\"author\" content=\"R\u00e9mi\" \/>\n<meta name=\"twitter:card\" content=\"summary_large_image\" \/>\n<meta name=\"twitter:label1\" content=\"\u00c9crit par\" \/>\n\t<meta name=\"twitter:data1\" content=\"R\u00e9mi\" \/>\n\t<meta name=\"twitter:label2\" content=\"Dur\u00e9e de lecture estim\u00e9e\" \/>\n\t<meta name=\"twitter:data2\" content=\"18 minutes\" \/>\n<script type=\"application\/ld+json\" class=\"yoast-schema-graph\">{\"@context\":\"https:\\\/\\\/schema.org\",\"@graph\":[{\"@type\":\"Article\",\"@id\":\"https:\\\/\\\/remivernier.com\\\/index.php\\\/2026\\\/10\\\/28\\\/anatomie-primary-refresh-token-entra-id\\\/#article\",\"isPartOf\":{\"@id\":\"https:\\\/\\\/remivernier.com\\\/index.php\\\/2026\\\/10\\\/28\\\/anatomie-primary-refresh-token-entra-id\\\/\"},\"author\":{\"name\":\"R\u00e9mi\",\"@id\":\"https:\\\/\\\/remivernier.com\\\/#\\\/schema\\\/person\\\/a4c76c63a5a3d94454484845e42fc906\"},\"headline\":\"Anatomie du Primary Refresh Token Entra ID\",\"datePublished\":\"2026-10-28T14:12:07+00:00\",\"dateModified\":\"2026-10-28T17:49:49+00:00\",\"mainEntityOfPage\":{\"@id\":\"https:\\\/\\\/remivernier.com\\\/index.php\\\/2026\\\/10\\\/28\\\/anatomie-primary-refresh-token-entra-id\\\/\"},\"wordCount\":3676,\"commentCount\":0,\"keywords\":[\"entra id\",\"PRT\",\"SSO\",\"TPM\"],\"articleSection\":[\"Active Directory\"],\"inLanguage\":\"fr-FR\",\"potentialAction\":[{\"@type\":\"CommentAction\",\"name\":\"Comment\",\"target\":[\"https:\\\/\\\/remivernier.com\\\/index.php\\\/2026\\\/10\\\/28\\\/anatomie-primary-refresh-token-entra-id\\\/#respond\"]}]},{\"@type\":\"WebPage\",\"@id\":\"https:\\\/\\\/remivernier.com\\\/index.php\\\/2026\\\/10\\\/28\\\/anatomie-primary-refresh-token-entra-id\\\/\",\"url\":\"https:\\\/\\\/remivernier.com\\\/index.php\\\/2026\\\/10\\\/28\\\/anatomie-primary-refresh-token-entra-id\\\/\",\"name\":\"Anatomie du Primary Refresh Token Entra ID - R\u00e9mi VERNIER\",\"isPartOf\":{\"@id\":\"https:\\\/\\\/remivernier.com\\\/#website\"},\"datePublished\":\"2026-10-28T14:12:07+00:00\",\"dateModified\":\"2026-10-28T17:49:49+00:00\",\"author\":{\"@id\":\"https:\\\/\\\/remivernier.com\\\/#\\\/schema\\\/person\\\/a4c76c63a5a3d94454484845e42fc906\"},\"description\":\"Structure du PRT d'Entra ID, cl\u00e9 de session scell\u00e9e par le TPM, cookie x-ms-RefreshTokenCredential, risque pass-the-PRT et d\u00e9fenses (Token Protection, r\u00e9vocation).\",\"breadcrumb\":{\"@id\":\"https:\\\/\\\/remivernier.com\\\/index.php\\\/2026\\\/10\\\/28\\\/anatomie-primary-refresh-token-entra-id\\\/#breadcrumb\"},\"inLanguage\":\"fr-FR\",\"potentialAction\":[{\"@type\":\"ReadAction\",\"target\":[\"https:\\\/\\\/remivernier.com\\\/index.php\\\/2026\\\/10\\\/28\\\/anatomie-primary-refresh-token-entra-id\\\/\"]}]},{\"@type\":\"BreadcrumbList\",\"@id\":\"https:\\\/\\\/remivernier.com\\\/index.php\\\/2026\\\/10\\\/28\\\/anatomie-primary-refresh-token-entra-id\\\/#breadcrumb\",\"itemListElement\":[{\"@type\":\"ListItem\",\"position\":1,\"name\":\"Accueil\",\"item\":\"https:\\\/\\\/remivernier.com\\\/\"},{\"@type\":\"ListItem\",\"position\":2,\"name\":\"Anatomie du Primary Refresh Token Entra ID\"}]},{\"@type\":\"WebSite\",\"@id\":\"https:\\\/\\\/remivernier.com\\\/#website\",\"url\":\"https:\\\/\\\/remivernier.com\\\/\",\"name\":\"R\u00e9mi VERNIER\",\"description\":\"Identit\u00e9, s\u00e9curit\u00e9, SAP et IA : Active Directory, Azure & co...\",\"potentialAction\":[{\"@type\":\"SearchAction\",\"target\":{\"@type\":\"EntryPoint\",\"urlTemplate\":\"https:\\\/\\\/remivernier.com\\\/?s={search_term_string}\"},\"query-input\":{\"@type\":\"PropertyValueSpecification\",\"valueRequired\":true,\"valueName\":\"search_term_string\"}}],\"inLanguage\":\"fr-FR\"},{\"@type\":\"Person\",\"@id\":\"https:\\\/\\\/remivernier.com\\\/#\\\/schema\\\/person\\\/a4c76c63a5a3d94454484845e42fc906\",\"name\":\"R\u00e9mi\",\"image\":{\"@type\":\"ImageObject\",\"inLanguage\":\"fr-FR\",\"@id\":\"https:\\\/\\\/secure.gravatar.com\\\/avatar\\\/f750448bc07f5d1d9c1189344283777ec0d33275c184599b199fb6b305bc6fba?s=96&d=mm&r=g\",\"url\":\"https:\\\/\\\/secure.gravatar.com\\\/avatar\\\/f750448bc07f5d1d9c1189344283777ec0d33275c184599b199fb6b305bc6fba?s=96&d=mm&r=g\",\"contentUrl\":\"https:\\\/\\\/secure.gravatar.com\\\/avatar\\\/f750448bc07f5d1d9c1189344283777ec0d33275c184599b199fb6b305bc6fba?s=96&d=mm&r=g\",\"caption\":\"R\u00e9mi\"},\"sameAs\":[\"http:\\\/\\\/www.linkedin.com\\\/in\\\/remi-vernier\"]}]}<\/script>\n<!-- \/ Yoast SEO plugin. -->","yoast_head_json":{"title":"Anatomie du Primary Refresh Token Entra ID - R\u00e9mi VERNIER","description":"Structure du PRT d'Entra ID, cl\u00e9 de session scell\u00e9e par le TPM, cookie x-ms-RefreshTokenCredential, risque pass-the-PRT et d\u00e9fenses (Token Protection, r\u00e9vocation).","robots":{"index":"index","follow":"follow","max-snippet":"max-snippet:-1","max-image-preview":"max-image-preview:large","max-video-preview":"max-video-preview:-1"},"canonical":"https:\/\/remivernier.com\/index.php\/2026\/10\/28\/anatomie-primary-refresh-token-entra-id\/","og_locale":"fr_FR","og_type":"article","og_title":"Anatomie du Primary Refresh Token Entra ID - R\u00e9mi VERNIER","og_description":"Structure du PRT d'Entra ID, cl\u00e9 de session scell\u00e9e par le TPM, cookie x-ms-RefreshTokenCredential, risque pass-the-PRT et d\u00e9fenses (Token Protection, r\u00e9vocation).","og_url":"https:\/\/remivernier.com\/index.php\/2026\/10\/28\/anatomie-primary-refresh-token-entra-id\/","og_site_name":"R\u00e9mi VERNIER","article_published_time":"2026-10-28T14:12:07+00:00","article_modified_time":"2026-10-28T17:49:49+00:00","author":"R\u00e9mi","twitter_card":"summary_large_image","twitter_misc":{"\u00c9crit par":"R\u00e9mi","Dur\u00e9e de lecture estim\u00e9e":"18 minutes"},"schema":{"@context":"https:\/\/schema.org","@graph":[{"@type":"Article","@id":"https:\/\/remivernier.com\/index.php\/2026\/10\/28\/anatomie-primary-refresh-token-entra-id\/#article","isPartOf":{"@id":"https:\/\/remivernier.com\/index.php\/2026\/10\/28\/anatomie-primary-refresh-token-entra-id\/"},"author":{"name":"R\u00e9mi","@id":"https:\/\/remivernier.com\/#\/schema\/person\/a4c76c63a5a3d94454484845e42fc906"},"headline":"Anatomie du Primary Refresh Token Entra ID","datePublished":"2026-10-28T14:12:07+00:00","dateModified":"2026-10-28T17:49:49+00:00","mainEntityOfPage":{"@id":"https:\/\/remivernier.com\/index.php\/2026\/10\/28\/anatomie-primary-refresh-token-entra-id\/"},"wordCount":3676,"commentCount":0,"keywords":["entra id","PRT","SSO","TPM"],"articleSection":["Active Directory"],"inLanguage":"fr-FR","potentialAction":[{"@type":"CommentAction","name":"Comment","target":["https:\/\/remivernier.com\/index.php\/2026\/10\/28\/anatomie-primary-refresh-token-entra-id\/#respond"]}]},{"@type":"WebPage","@id":"https:\/\/remivernier.com\/index.php\/2026\/10\/28\/anatomie-primary-refresh-token-entra-id\/","url":"https:\/\/remivernier.com\/index.php\/2026\/10\/28\/anatomie-primary-refresh-token-entra-id\/","name":"Anatomie du Primary Refresh Token Entra ID - R\u00e9mi VERNIER","isPartOf":{"@id":"https:\/\/remivernier.com\/#website"},"datePublished":"2026-10-28T14:12:07+00:00","dateModified":"2026-10-28T17:49:49+00:00","author":{"@id":"https:\/\/remivernier.com\/#\/schema\/person\/a4c76c63a5a3d94454484845e42fc906"},"description":"Structure du PRT d'Entra ID, cl\u00e9 de session scell\u00e9e par le TPM, cookie x-ms-RefreshTokenCredential, risque pass-the-PRT et d\u00e9fenses (Token Protection, r\u00e9vocation).","breadcrumb":{"@id":"https:\/\/remivernier.com\/index.php\/2026\/10\/28\/anatomie-primary-refresh-token-entra-id\/#breadcrumb"},"inLanguage":"fr-FR","potentialAction":[{"@type":"ReadAction","target":["https:\/\/remivernier.com\/index.php\/2026\/10\/28\/anatomie-primary-refresh-token-entra-id\/"]}]},{"@type":"BreadcrumbList","@id":"https:\/\/remivernier.com\/index.php\/2026\/10\/28\/anatomie-primary-refresh-token-entra-id\/#breadcrumb","itemListElement":[{"@type":"ListItem","position":1,"name":"Accueil","item":"https:\/\/remivernier.com\/"},{"@type":"ListItem","position":2,"name":"Anatomie du Primary Refresh Token Entra ID"}]},{"@type":"WebSite","@id":"https:\/\/remivernier.com\/#website","url":"https:\/\/remivernier.com\/","name":"R\u00e9mi VERNIER","description":"Identit\u00e9, s\u00e9curit\u00e9, SAP et IA : Active Directory, Azure & co...","potentialAction":[{"@type":"SearchAction","target":{"@type":"EntryPoint","urlTemplate":"https:\/\/remivernier.com\/?s={search_term_string}"},"query-input":{"@type":"PropertyValueSpecification","valueRequired":true,"valueName":"search_term_string"}}],"inLanguage":"fr-FR"},{"@type":"Person","@id":"https:\/\/remivernier.com\/#\/schema\/person\/a4c76c63a5a3d94454484845e42fc906","name":"R\u00e9mi","image":{"@type":"ImageObject","inLanguage":"fr-FR","@id":"https:\/\/secure.gravatar.com\/avatar\/f750448bc07f5d1d9c1189344283777ec0d33275c184599b199fb6b305bc6fba?s=96&d=mm&r=g","url":"https:\/\/secure.gravatar.com\/avatar\/f750448bc07f5d1d9c1189344283777ec0d33275c184599b199fb6b305bc6fba?s=96&d=mm&r=g","contentUrl":"https:\/\/secure.gravatar.com\/avatar\/f750448bc07f5d1d9c1189344283777ec0d33275c184599b199fb6b305bc6fba?s=96&d=mm&r=g","caption":"R\u00e9mi"},"sameAs":["http:\/\/www.linkedin.com\/in\/remi-vernier"]}]}},"_links":{"self":[{"href":"https:\/\/remivernier.com\/index.php\/wp-json\/wp\/v2\/posts\/1265","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/remivernier.com\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/remivernier.com\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/remivernier.com\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/remivernier.com\/index.php\/wp-json\/wp\/v2\/comments?post=1265"}],"version-history":[{"count":3,"href":"https:\/\/remivernier.com\/index.php\/wp-json\/wp\/v2\/posts\/1265\/revisions"}],"predecessor-version":[{"id":1269,"href":"https:\/\/remivernier.com\/index.php\/wp-json\/wp\/v2\/posts\/1265\/revisions\/1269"}],"wp:attachment":[{"href":"https:\/\/remivernier.com\/index.php\/wp-json\/wp\/v2\/media?parent=1265"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/remivernier.com\/index.php\/wp-json\/wp\/v2\/categories?post=1265"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/remivernier.com\/index.php\/wp-json\/wp\/v2\/tags?post=1265"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}