IIS tarjoaa monia erilaisia tunnistautumisteknologioita. Yksi niistä on Windows-tunnistautumisen integrointi. Integroitu Windows-autentikointi hyödyntää neuvottelu-Kerberosta tai NTLM:ää käyttäjien todentamiseen selaimen ja palvelimen välillä välitettyjen salattujen tikettiviestien perusteella.
Yleisin NTLM-tunnistautumisen sovellusskenaario on todennäköisesti selaimissa käytetty autentikointi (http-protokolla). Todellisuudessa NTLM määrittelee vain todennusprosessin ja todennusviestimuodon. Se ei liity tiettyihin sopimuksiin. Eli http:n kanssa ei välttämättä ole yhteyttä. Selain kuljettaa vain NTLM-viestin http-protokollan otsikossa ja läpäisee tunnistautumisen. Tiedämme, että http on yleensä selväkielinen, joten jos salasanojen suora siirto on hyvin turvatonta, NTLM estää tämän ongelman tehokkaasti.
Sertifiointiprosessi
NTLM-todennus vaatii kolme vaihetta, ja voit tarkastella yksityiskohtaista pyyntöprosessia Fiddler Toolboxin kautta.
Vaihe 1
Käyttäjä kirjautuu asiakaspalvelimelle syöttämällä Windows-tilin numeron ja salasanan. Ennen kirjautumista asiakas välimuistittaa syötetyn salasanan tiivisteen, ja alkuperäinen salasana hylätään ("alkuperäistä salasanaa ei voi välimuistittaa missään olosuhteissa", tämä on perusturvallisuusohje). Käyttäjän, joka onnistuu kirjautumaan Windows-asiakasohjelmaan, täytyy lähettää pyyntö toiselle osapuolelle, jos hän yrittää käyttää palvelinresursseja. Pyyntö sisältää käyttäjätunnuksen selväkielisenä tekstinä.
Vaihe 2
Kun palvelin vastaanottaa pyynnön, se generoi 16-bittisen satunnaisluvun. Tätä satunnaista lukua kutsutaan haasteeksi tai nonceksi. Haaste tallennetaan ennen kuin palvelin lähettää sen asiakkaalle. Haasteet lähetetään selväkielisinä tekstinä.
Vaihe 3
Kun palvelin on lähettänyt haasteen takaisin, asiakas salaa sen salasanatiivisteellä, joka on tallennettu vaiheessa 1, ja lähettää salatun haasteen palvelimelle.
Vaihe 4
Saatuaan asiakkaalta takaisin lähettämän salatun haasteen, palvelin lähettää todennuspyynnön asiakkaalle DC:lle (Domain). Pyyntö sisältää pääasiassa seuraavat kolme sisältöä: asiakaskäyttäjätunnus; Haaste ja alkuperäinen haaste salatun asiakassalasanan hajautuksella.
Vaiheet 5 ja 6
DC salaa alkuperäisen haasteen hankkimalla tilin salasanan tiivisteen käyttäjätunnuksen perusteella. Jos salattu haaste on sama kuin palvelimen lähettämä, se tarkoittaa, että käyttäjällä on oikea salasana ja vahvistus menee läpi, muuten vahvistus epäonnistuu. DC lähettää varmennustulokset palvelimelle ja lopulta palauttaa ne asiakkaalle.
Lähdeartikkelit:
Hyperlinkin kirjautuminen on näkyvissä.
Hyperlinkin kirjautuminen on näkyvissä.
Hyperlinkin kirjautuminen on näkyvissä.
|
Julkaistu 2020-9-5 13:28:14
|
|
|
|
