Atak Golden Ticket – specyficzny typ cyberataku mający na celu przejęcie kontroli nad systemem dostępu w środowisku Microsoft Windows, zwłaszcza za pomocą usługi Active Directory (AD). Atak ten wykorzystuje pewne nieprawidłowości w protokole uwierzytelniania Kerberos, który jest stosowany przez Microsoft.
W hierarchii usługi Active Directory kluczowym kontem jest krbtgt, które odgrywa kluczową rolę w szyfrowaniu i podpisywaniu wszystkich biletów dostępnych w protokole Kerberos w danej domenie. Kontrolery domeny używają hasła do konta krbtgt w celu odszyfrowania biletów Kerberos. Hasło do tego konta jest stałe, a nazwa konta jest taka sama we wszystkich domenach.
Mechanizm ataku Wykonanie ataku Golden Ticket wymaga posiadania określonych danych, w tym pełnej nazwy domeny, znacznika SID domeny oraz hasha NTLM konta krbtgt. Atak przebiega według następującego schematu:
Przejęcie informacji o koncie krbtgt. Wygenerowanie bezterminowego biletu dla dowolnego konta, zazwyczaj dla konta, które jest trudne do wykrycia, tak zwanej domeny „ghost”. Przejęcie uprawnień administratora przez cyberprzestępcę. Zmiana haseł dostępu, co powoduje uniemożliwienie poprzedniemu administratorowi logowania się na swoje konto.