Secrets dans SYSVOL : cpassword, scripts et mots de passe en clair lisibles par tous

L'héritage des préférences de stratégie de groupe

Les préférences de stratégie de groupe (GPP), introduites avec Windows Server 2008, permettaient notamment de créer des comptes locaux, de définir des mots de passe pour des services ou des tâches planifiées et de mapper des lecteurs avec des identifiants. Le mot de passe saisi était stocké dans un fichier XML de la GPO, dans un attribut nommé cpassword, chiffré en AES.

Le problème : la clé de chiffrement était la même pour tous les environnements et Microsoft l'a publiée dans sa documentation. N'importe quel utilisateur du domaine pouvait donc lire le fichier et déchiffrer le mot de passe. Le bulletin MS14-025, publié en mai 2014, a supprimé la possibilité de saisir de nouveaux mots de passe dans ces préférences, mais n'a pas supprimé les fichiers existants. Les GPO créées avant cette date, y compris des GPO désactivées ou non liées, peuvent toujours contenir ces valeurs.

Où chercher

Les fichiers concernés se trouvent dans l'arborescence des GPO sous SYSVOL, dans les sous-dossiers Machine et User. Les plus fréquents sont :

• Groups.xml : utilisateurs et groupes locaux, souvent le mot de passe de l'administrateur local ;
• Services.xml : compte d'exécution de services ;
• ScheduledTasks.xml : tâches planifiées ;
• DataSources.xml : sources de données ODBC ;
• Drives.xml et Printers.xml : lecteurs et imprimantes mappés avec identifiants.

Une recherche simple de la chaîne cpassword dans les fichiers XML de SYSVOL suffit à les repérer. Microsoft a publié à l'époque un script de détection accompagnant le bulletin. Une valeur vide de cpassword est sans risque ; une valeur renseignée doit être considérée comme compromise.

Les autres secrets de SYSVOL et NETLOGON

Les GPP ne sont que la partie la plus connue du problème. Nos audits relèvent régulièrement :

• des scripts d'ouverture de session (batch, PowerShell, VBScript) contenant un compte et un mot de passe pour mapper un lecteur ou lancer une installation ;
• des fichiers de réponse d'installation automatisée oubliés dans un dossier de déploiement ;
• des fichiers de configuration d'applications, des exports ou des sauvegardes copiés « temporairement » dans NETLOGON ;
• des mots de passe d'administrateur local encodés en Base64 ou légèrement masqués, ce qui ne constitue pas une protection.

Recherchez des mots-clés comme password, pwd, mot de passe, net use, runas, ConvertTo-SecureString ou credential, puis examinez manuellement les résultats : les faux positifs sont nombreux, mais les vrais positifs sont critiques.

Nettoyer et remplacer

1. Inventoriez chaque fichier contenant un secret, la GPO ou le script d'origine et les systèmes concernés.
2. Changez immédiatement les mots de passe exposés, en commençant par les comptes à privilèges et les administrateurs locaux.
3. Supprimez les préférences concernées dans la console de gestion des stratégies de groupe plutôt que d'effacer les fichiers à la main, pour ne pas créer d'incohérence.
4. Remplacez les usages : Windows LAPS pour les administrateurs locaux, comptes de service administrés de groupe pour les services et tâches planifiées, droits d'accès aux partages fondés sur l'identité de l'utilisateur pour les lecteurs.
5. Supprimez les GPO orphelines et les dossiers de stratégie sans objet correspondant dans l'annuaire.

Pensez aussi aux sauvegardes de GPO et aux copies de SYSVOL conservées sur des serveurs de fichiers : elles contiennent les mêmes secrets.

Ce qu'un audit vérifie

• la présence de valeurs cpassword renseignées dans SYSVOL ;
• les scripts et fichiers de SYSVOL et NETLOGON contenant des identifiants ;
• les GPO orphelines, désactivées ou non liées encore présentes ;
• les droits d'écriture sur SYSVOL et NETLOGON, qui permettraient de modifier un script exécuté par tous ;
• la rotation effective des mots de passe précédemment exposés.