Dlaczego tak
Kontroler RODC przechowuje kopię katalogu tylko do odczytu i domyślnie nie buforuje haseł kont — zapisuje je wyłącznie dla kont wskazanych w zasadach replikacji haseł. Po kradzieży wystarczy więc zresetować hasła nielicznych kont, a zmiany zrobione na skradzionym serwerze nie zreplikują się do domeny. Zapisywalny kontroler, także z katalogiem globalnym, zawiera skróty haseł wszystkich kont, a DHCP nie chroni katalogu.