kikukázád a telepített rendszer által használt credentialt
Oké, értem, elmagyaráztad, hogy ha már volt egyszer azon a gépen (és azon diszken!) egy telepítés, akkor a reinstall már biztonságos módon megoldható, feltéve, hogy nem egy félresikerült telepítés volt az előző, és olvasható a diszk. De én arról a use-case-ről beszélek, amikor nincs meglévő, stabil "identitása" a gépnek. Azaz nincs korábbi telepített rendszer, ahonnan valamit ki lehet olvasni. Mert mondjuk új a diszk, vagy csak szimplán reciklált egy másik gépből, vagy konkrétan a gép is teljesen új, tehát a legelső telepítésről van szó.
Innen indulunk, ezt az esetet kell tudni kezelni (és ha ezt kezeltük, akkor valójában a reinstallt is kezeltük).
semmit nem tudunk a gépről
Dehogynem. A gépről tudunk, fel van véve a DHCP szerverbe (nincs is dinamikus címosztás), kiosztott neve is van neki. Az admin ahhoz "lusta", hogy odamenjen a géphez, és az OOB infót eljuttassa oda. Ezért cserébe elviseli, hogy más is elérheti mindazon infókat, amik a települő gépnek elérhetőek, és ennek keretében akár a domainbe is be tudja magát varázsolni valaki, ha nagyon rágyúr (kihúzza az egyik gépet, felveszi a MAC addresst, stb).
és létrehozza a machine account-ot a default jelszóval. Innentől ugyanaz, mint fenn, az egyszer használatos credentialt gyakorlatilag out-of-band (DNS-en keresztül) juttatod el a gépre
Hát ugye ebben az esetben ez a default jelszó valójában publikus, hiszen a gép neve is publikus, legfeljebb az algorimust nem ismeri valaki a transzformációhoz, de az meg a security by obscurity szintje, amit egy hardkódolt fix default jelszóval (mondjuk legyen üres string, és akkor meg is érkeztünk a guest módhoz) még egyszerűbben meg lehet ugrani.
de nem is beszélhetünk már biztonságról, mert nem azonosítottad az eszközt
Dehát valójában tényleg nem tudom azonosítani az eszközt! Ez az alfája és az omegája a problémának. És ezzel alapvetően nincs is akkora nagy bajom, azzal van, hogy az MS szerint ennél lehet jobbat csinálni, ezért legyek szíves nem használni a guest módot...