⬇ Scarica il santino: ·
Beato Certificato Zombie, che sopravvive alla revoca
Patrono delle PKI aziendali, delle liste di revoca che nessuno consulta e degli amministratori convinti che revocare bastasse.
Vita
Il 7 ottobre 2026 Jake Hildreth di Semperis descrisse una persistenza «ancora più inquietante» per Active Directory Certificate Services. Un attaccante già amministratore toglie ai certificati emessi il puntatore alla lista di revoca e convince i controller di dominio a ignorare gli stati sconosciuti: i certificati così nati continuano a valere per il logon PKINIT anche dopo la revoca, che nessun verificatore riesce più a trovare. Morti per l'anagrafe, vivissimi per Kerberos.
Preghiera
O Beato Certificato Zombie, che cammini tra i vivi senza lista di revoca, fa' che i nostri controller di dominio, nel dubbio, dicano di no. Amen.
Come si festeggia
Si festeggia svuotando DisableExtensionList sulle CA, togliendo UseCachedCRLOnlyAndIgnoreRevocationUnknownErrors dai controller di dominio e sostituendo i certificati emessi nel frattempo, perché revocarli non basta.
Morto che cammina non legge la lista di revoca.