Zufällig, wie sie selbst beschreiben, stießen Penetration Tester um Karl Fosaaen vom Unternehmen NetSPI auf eine verdächtige Zeichenkette in einem App-Registration-Manifest im Azure Active Directory, das man als AAD-Nutzer in der Azure-Oberfläche einsehen kann. Was dort unterhalb des Eintrags keyCredentials mit Base64 encodiert stand, entpuppte sich nach dem Dekodieren als privater Schlüssel im PFX-Format.
Azure Active Directory: Sicherheitslücke entblößt private Schlüssel
