IIS ponuja številne različne tehnologije za avtentikacijo. Ena izmed njih je integracija Windows avtentikacije. Integrirana Windows avtentikacija uporablja pogajalski Kerberos ali NTLM za avtentikacijo uporabnikov na podlagi šifriranih sporočil za vstopnice, ki si jih izmenjujeta brskalnik in strežnik.
Najpogostejši scenarij uporabe NTLM avtentikacije je verjetno avtentikacija, ki se uporablja v brskalnikih (http protokol). V resnici pa NTLM določa le postopek avtentikacije in format avtentikacijskega sporočila. Ni povezana s specifičnimi dogovori. Torej ni nujno povezave z http. Brskalnik prenaša le NTLM sporočilo v HTTP protokolni glavi in posreduje avtentikacijo. Vemo, da je http običajno v navadnem besedilu, zato NTLM učinkovito preprečuje ta problem, če je neposredni prenos gesel zelo nevaren.
Postopek certificiranja
NTLM avtentikacija zahteva tri korake za dokončanje, podrobni postopek zahteve pa si lahko ogledate v fiddler toolboxu.
Korak 1
Uporabnik se prijavi v odjemalski gostitelj z vnosom številke računa Windows in gesla. Pred prijavo odjemalec predpomni zgoščeno vrednost vnesenega gesla, izvirno geslo pa zavrže ("izvirno geslo ni mogoče predpomniti pod nobenim pogojem", to je osnovno varnostno pravilo). Uporabnik, ki se uspešno prijavi v odjemalski Windows, mora poslati zahtevo drugi strani, če ta poskuša dostopati do strežniških virov. Zahteva vsebuje uporabniško ime v odprtem besedilu.
Korak 2
Ko strežnik prejme zahtevo, generira 16-bitno naključno številko. To naključno število imenujemo izziv ali nonce. Izziv se shrani, preden ga strežnik pošlje odjemalcu. Izzivi so poslani v navadnem besedilu.
Korak 3
Po prejemu izziva, ki ga strežnik pošlje nazaj, ga odjemalec šifrira s shranjenim geslom v koraku 1 in nato pošlje šifrirani izziv strežniku.
Korak 4
Po prejemu šifriranega izziva, ki ga pošlje odjemalec nazaj, strežnik pošlje zahtevo za avtentikacijo odjemalcu na DC (domeno). Zahteva večinoma vključuje naslednje tri vsebine: uporabniško ime odjemalca; Izziv in izvirni izziv s šifriranim hashom gesla odjemalca.
Koraka 5 in 6
DC šifrira prvotni izziv tako, da pridobi geslo računa na podlagi uporabniškega imena. Če je šifrirani izziv enak tistemu, ki ga pošlje strežnik, to pomeni, da ima uporabnik pravilno geslo in preverjanje uspe, sicer preverjanje ne uspe. DC pošlje rezultate preverjanja strežniku in jih na koncu prenese nazaj odjemalcu.
Referenčni članki:
Prijava do hiperpovezave je vidna.
Prijava do hiperpovezave je vidna.
Prijava do hiperpovezave je vidna.
|
Objavljeno 5. 9. 2020 ob 13:28:14
|
|
|
|
