Un modello di certificato è un insieme di regole in Active Directory Certificate Services (AD CS) che definisce le modalità di rilascio di un certificato. Specifica chi può richiederlo, quali finalità del certificato e quali informazioni sull’identità sono consentite e se un richiedente autorizzato può fornire informazioni come il nome del soggetto.
I modelli sono importanti perché i certificati possono autenticare utenti o computer, creando una via di accesso alternativa alle password. Se un modello concede ampi diritti di richiesta o consente ai richiedenti di specificare un’altra identità, un aggressore con accesso adeguato potrebbe ottenere un certificato che rappresenta un account con privilegi più elevati. I difensori dovrebbero limitare le richieste, verificare la presenza di impostazioni rischiose nei modelli, monitorare il rilascio dei certificati e revocare quelli non autorizzati. Negli attacchi ad AD CS, la configurazione errata di un modello è distinta dal relay NTLM: si tratta di due percorsi diversi per abusare dei servizi di certificazione.