社内の認証基盤でよく使われる Kerberos は、「チケット」を配って本人確認する方式です。このチケット発行の元になる親鍵が盗まれると、攻撃者は任意のチケットを自作できてしまう——これがゴールデンチケットです。
なぜ試験で問われる
「認証情報を盗む手口」を並べたとき、ゴールデンチケットだけ土俵が違います。これは社内認証（ディレクトリ）の世界の話で、Webの入口で使うID/パスワードそのものを盗む手口ではありません。ここを区別できるかが狙われます。
Kerberosの流れ
1ログインして「入場券」をもらう
利用者のPC
↓ログイン（本人確認）
認証サーバ入場券を発行する窓口
↑入場券（＝発行元の親鍵で封をした証明）を渡す
2入場券を見せて「利用券」に交換
利用者のPC入場券を提示
↓「このサーバを使いたい」
チケット発行サーバ利用券を発行
↓
目的の社内サーバ利用券を確認して受け入れ
ポイントは、封をする鍵が2段になっていること。入場券は「発行元の親鍵」で封がされ、チケット発行サーバだけが開けます。一方利用券は「目的のサーバ自身の鍵」で封がされ、そのサーバが自分の鍵で開いて受け入れます。利用者はどちらの中身も読めないまま持ち運ぶだけです。
動きで見る
番号順に追うと、入場券（TGT）→利用券（サービスチケット）→社内サーバの3手で、認証基盤（KDC）が本人確認とアクセス許可を分担する流れが見えます。（図は横スクロールできます）
ゴールデンチケットが成立する理由
!親鍵さえ盗めば入場券を自作できる
攻撃者
↓チケット発行の元になる管理用アカウントの親鍵を窃取
偽の入場券を自作正規の封を自前で作れてしまう
↓偽の入場券をチケット発行サーバに提示
正規の利用券が発行される社内サーバは正しい券として受け入れる → 誰にでもなりすまし
認証サーバに正規ログインしなくても、親鍵を持っていれば入場券を無限に発行できる。だから社内のほぼ何にでもなりすませる、非常に強力な攻撃です。
Web入口の認証窃取とは「別レイヤ」
見抜きどころ
ゴールデンチケットが狙うのは社内認証（チケット制）の親鍵。一方、Webの入口（プロキシなど）で使うID/パスワードそのものを盗む手口——盗聴・キー入力の記録・偽の入力画面・総当たり・保存された認証情報の抜き取りなど——とは目的物も舞台も別です。だから「Web入口のID/パスワードの窃取に使える／使えない」を問われたら、ゴールデンチケットは"使えない側"。用途の土俵が違う、と見抜くのが決め手。