Não confie em ninguém: as trusts unidirecionais são realmente unidirecionais?

A confiança unidirecional no Active Directory nunca foi realmente 'unidirecional' em termos de segurança operacional. O que a Microsoft documenta como um fluxo de autenticação restrito é contornável com acesso de Domain Admin na floresta confiante: basta extrair o segredo do Trusted Domain Object (TDO) via chamadas DRS e derivar as chaves Kerberos da conta TRUST_ACCOUNT. A ferramenta tdo_dump.py não é só uma prova de conceito, ela opera remotamente, sem necessidade de execução local ou de credenciais adicionais, e já permite reconhecimento LDAP, criação de contas de computador e Kerberoasting contra a floresta confiável. Isso invalida por completo o modelo de 'floresta de administração' isolada, onde se supunha que comprometer a floresta dependente não daria acesso à infraestrutura de gerenciamento.

O risco se agrava com vulnerabilidades recentes confirmadas pela Microsoft: CVE-2026-47288 (falha crítica no KDC que permite escalonamento de privilégios via Kerberos) e CVE-2026-25177 (escalonamento sem interação do usuário que manipula relações de confiança). Ambas foram corrigidas no Patch Tuesday de junho de 2026, mas exigem atualização imediata, especialmente porque, mesmo com permissões limitadas, atacantes conseguem explorar lacunas na replicação DRS e na delegação de Kerberos para contornar barreiras lógicas de design.

Equipes de segurança que ainda confiam em trusts unidirecionais como barreira de contenção estão operando sob falsa premissa técnica. Um único domínio comprometido com privilégios de Domain Admin pode ser usado como trampolim para acessar a floresta de administração, incluindo contas de serviço, gMSAs mal configuradas e até controladores de domínio com permissões de replicação abertas. Isso torna obsoletas políticas de segmentação baseadas apenas em direcionalidade de trust, exigindo substituição por filtragem de SID rigorosa, restrição de permissões DRS (Replicar Alterações de Diretório), desativação de delegação não restrita e auditoria contínua de objetos TDO e SPNs.