IIS pakub palju erinevaid autentimistehnoloogiaid. Üks neist on Windowsi autentimise integreerimine. Integreeritud Windowsi autentimine kasutab läbirääkimisi Kerberos ehk NTLM-i kasutajate autentimiseks krüpteeritud piletisõnumite põhjal, mis edastatakse brauseri ja serveri vahel.
Kõige levinum NTLM-autentimise rakenduse stsenaarium on tõenäoliselt brauserites kasutatav autentimine (http protokoll). Tegelikult määrab NTLM ainult autentimisprotsessi ja autentimissõnumi formaadi. See ei ole seotud konkreetsete kokkulepetega. Seega ei ole tingimata seost http-ga. Brauser kannab ainult NTLM sõnumit http protokolli päises ja läbib autentimise. Me teame, et http on tavaliselt selges tekstis, nii et kui paroolide otsene edastamine on väga ebaturvaline, väldib NTLM selle probleemi tõhusalt.
Sertifitseerimisprotsess
NTLM autentimine nõuab kolme sammu ning üksikasjalikku päringuprotsessi saab vaadata Fiddler tööriistakasti kaudu.
1. samm
Kasutaja logib kliendi hostisse sisse, sisestades Windowsi konto numbri ja parooli. Enne sisselogimist salvestab klient sisestatud parooli räsi vahemällu ning algne parool visatakse ära ("originaalparooli ei saa mingil juhul vahemällu salvestada", see on põhiline turvajuhis). Kasutaja, kes edukalt kliendi Windowsi sisse logib, peab saatma päringu teisele osapoolele, kui ta üritab serveri ressurssidele ligi pääseda. Päring sisaldab kasutajanime selges tekstis.
2. samm
Kui server päringu vastu võtab, genereerib ta 16-bitise juhusliku numbri. Seda juhuslikku arvu nimetatakse väljakutseks või nonce'iks. Väljakutse salvestatakse enne, kui server selle kliendile saadab. Väljakutsed saadetakse selges tekstis.
3. samm
Pärast serveri poolt tagasi saadetud väljakutse saamist krüpteerib klient selle parooli räsiga, mis on salvestatud esimeses sammus, ja saadab seejärel krüpteeritud väljakutse serverile.
4. samm
Pärast kliendi poolt tagasi saadetud krüpteeritud väljakutse saamist saadab server kliendile autentimispäringu DC-le (Domeeni). Päring sisaldab peamiselt järgmisi kolme sisu: kliendi kasutajanimi; Väljakutse ja originaalne väljakutse krüpteeritud kliendi parooliräsiga.
Sammud 5 ja 6
DC krüpteerib algse väljakutse, saades kasutajanime põhjal konto parooliräsi. Kui krüpteeritud väljakutse on sama, mis serveri saadetud, tähendab see, et kasutajal on õige parool ja kinnitus läbib, vastasel juhul ebaõnnestub kontroll. DC saadab kinnitustulemused serverisse ja lõpuks edastab need kliendile.
Viiteartiklid:
Hüperlingi sisselogimine on nähtav.
Hüperlingi sisselogimine on nähtav.
Hüperlingi sisselogimine on nähtav.
|
Postitatud 2020-9-5 13:28:14
|
|
|
|
