Glossaire
WDigest
Ancien package d'authentification Windows qui, lorsqu'il est activé, conserve les mots de passe en clair dans la mémoire de LSASS, à la portée des outils d'extraction d'identifiants.
WDigest est l'implémentation Windows de l'authentification HTTP Digest et de SASL, introduite avec Windows XP. Comme le protocole Digest a besoin du mot de passe de l'utilisateur pour calculer ses réponses, le package de sécurité WDigest mettait historiquement en cache, dans la mémoire de LSASS, une copie du mot de passe exploitable de manière réversible pour chaque ouverture de session interactive. Depuis la mise à jour KB2871997 de 2014 et dans toutes les versions à partir de Windows 8.1 et Windows Server 2012 R2, cette mise en cache est désactivée par défaut et contrôlée par la valeur UseLogonCredential sous HKLM\SYSTEM\CurrentControlSet\Control\SecurityProviders\WDigest : 0 ou une valeur absente signifie aucun texte clair, 1 la réactive.
Les attaquants qui obtiennent des droits d'administrateur local fixent souvent UseLogonCredential à 1 et attendent la prochaine ouverture de session : cette valeur est donc à la fois un paramètre de durcissement et un signal de détection. Fixez-la explicitement à 0 par stratégie de groupe (les anciennes lignes de base de sécurité Microsoft comprenaient le paramètre « WDigest Authentication » ; il a été retiré de la ligne de base Windows 11 24H2 comme obsolète, une préférence de registre convient donc aussi), surveillez les modifications de la clé de registre avec Sysmon ou un EDR, et ajoutez les comptes privilégiés au groupe Protected Users, qui empêche aussi WDigest de mettre les identifiants en cache.
Voir Identifiants en cache, WDigest et exposition des secrets et Credential Guard et protection LSA : protéger LSASS.