IIS piedāvā daudzas dažādas autentifikācijas tehnoloģijas. Viens no tiem ir Windows autentifikācijas integrācija. Integrētā Windows autentifikācija izmanto sarunu Kerberos vai NTLM, lai autentificētu lietotājus, pamatojoties uz šifrētiem biļešu ziņojumiem, kas tiek pārsūtīti starp pārlūkprogrammu un serveri.
Visizplatītākais NTLM autentifikācijas pielietojuma scenārijs, iespējams, ir pārlūkprogrammās izmantotā autentifikācija (http protokols). Bet patiesībā NTLM norāda tikai autentifikācijas procesu un autentifikācijas ziņojuma formātu. Tas nav saistīts ar konkrētiem līgumiem. Tātad nav obligāti savienojuma ar http. Pārlūkprogramma pārnes tikai NTLM ziņojumu http protokola galvenē un nodod autentifikāciju. Mēs zinām, ka http parasti ir vienkāršā tekstā, tāpēc, ja tiešā paroļu pārsūtīšana ir ļoti nedroša, NTLM efektīvi novērš šo problēmu.
Sertifikācijas process
NTLM autentifikācijai ir nepieciešamas trīs darbības, un jūs varat apskatīt detalizētu pieprasījuma procesu, izmantojot fiddler toolbox.
1. darbība
Lietotājs piesakās klienta resursdatorā, ievadot Windows konta numuru un paroli. Pirms pieteikšanās klients kešatmiņā saglabā ievadītās paroles jaucējkodu, un sākotnējā parole tiek atmesta ("oriģinālo paroli nekādā gadījumā nevar saglabāt kešatmiņā", tā ir pamata drošības vadlīnija). Lietotājam, kurš veiksmīgi piesakās klienta sistēmā Windows, ir jānosūta pieprasījums otrai pusei, ja viņš mēģina piekļūt servera resursiem. Pieprasījumā ir lietotājvārds vienkāršā tekstā.
2. darbība
Kad serveris saņem pieprasījumu, tas ģenerē 16 bitu nejaušu skaitli. Šo nejaušo skaitli sauc par izaicinājumu vai nonce. Izaicinājums tiek saglabāts, pirms serveris to nosūta klientam. Izaicinājumi tiek sūtīti vienkāršā tekstā.
3. darbība
Pēc servera nosūtītā izaicinājuma saņemšanas klients to šifrē ar paroles jaucējkodu, kas saglabāts 1. solī, un pēc tam nosūta šifrēto izaicinājumu serverim.
4. darbība
Pēc klienta nosūtītā šifrētā izaicinājuma saņemšanas serveris nosūta klientam autentifikācijas pieprasījumu DC (domēnam). Pieprasījumā galvenokārt ir šādi trīs saturi: klienta lietotājvārds; Izaicinājums un oriģināls izaicinājums ar šifrētu klienta paroles jaucējkodu.
5. un 6. darbība
DC šifrē sākotnējo izaicinājumu, iegūstot konta paroles jaucējkodu, pamatojoties uz lietotājvārdu. Ja šifrētais izaicinājums ir tāds pats kā servera nosūtītais, tas nozīmē, ka lietotājam ir pareiza parole un verifikācija tiek izturēta, pretējā gadījumā verifikācija neizdodas. DC nosūta verifikācijas rezultātus uz serveri un visbeidzot atgriežas klientam.
Atsauces raksti:
Hipersaites pieteikšanās ir redzama.
Hipersaites pieteikšanās ir redzama.
Hipersaites pieteikšanās ir redzama.
|
Publicēts 2020-9-5 13:28:14
|
|
|
|
