LAPS (mot de passe administrateur local)

LAPS (Local Administrator Password Solution) est l'outil de Microsoft qui donne à chaque poste et serveur Windows un mot de passe administrateur local unique, aléatoire et renouvelé automatiquement, conservé dans l'annuaire avec un droit de lecture restreint. Le problème qu'il règle est banal. Un parc installé à partir d'une image maîtresse hérite du même compte administrateur local, avec le même mot de passe, sur des centaines de machines. L'attaquant qui prend un seul poste extrait l'empreinte de ce mot de passe avec un outil comme Mimikatz et la rejoue partout sans jamais la casser, la technique dite pass-the-hash. NotPetya, en juin 2017, associait ce vol d'identifiants aux outils d'administration de Windows pour passer de machine en machine. Microsoft a publié LAPS en 2015 comme outil séparé, puis l'a intégré au système en avril 2023 sous le nom de Windows LAPS, avec stockage possible dans Entra ID et chiffrement du mot de passe dans Active Directory. Le questionnaire cyber le demande sous deux formes : « les mots de passe administrateur local sont-ils uniques par machine ? », ou directement « LAPS ou équivalent est-il déployé ? ». Aucun scan externe ne le voit. La preuve habituelle est un taux de couverture tiré de la console ou un extrait d'annuaire, et un « oui » sans pourcentage ne dit pas combien de machines partagent encore l'ancien mot de passe. Un déploiement partiel laisse précisément les machines les plus anciennes, souvent les moins surveillées, dans l'état d'avant. Réserve de praticien : LAPS ne protège plus rien si trop de monde peut lire l'attribut qui stocke le mot de passe, et les équipes de réponse à incident trouvent régulièrement ce droit accordé à tout le support, voire à tous les utilisateurs authentifiés.