IIS birçok farklı kimlik doğrulama teknolojisi sunar. Bunlardan biri Windows kimlik doğrulamasının entegrasyonu. Entegre Windows Kimlik Doğrulama, kullanıcıları tarayıcı ile sunucu arasında gönderilen şifreli bilet mesajlarına göre doğrulamak için Kerberos veya NTLM müzakere yöntemini kullanır.
NTLM kimlik doğrulamasının en yaygın uygulama senaryosu muhtemelen tarayıcılarda kullanılan kimlik doğrulamadır (http protokolü). Ancak gerçekte, NTLM yalnızca kimlik doğrulama sürecini ve kimlik doğrulama mesajı formatını belirler. Belirli anlaşmalarla ilgili değildir. Yani http ile mutlaka bir bağlantı yoktur. Tarayıcı, yalnızca http protokol başlığında NTLM mesajını taşır ve kimlik doğrulamasını geçirir. HTTP genellikle açık metin halinde olduğunu biliyoruz, bu yüzden şifrelerin doğrudan iletimi çok güvensizse, NTLM bu sorunu etkili bir şekilde önler.
Sertifikasyon süreci
NTLM doğrulaması üç adımı tamamlamak zorunda ve detaylı istek sürecini fiddler araç kutusu üzerinden görebilirsiniz.
Adım 1
Kullanıcı, Windows hesap numarası ve şifresini girerek istemci sunucusuna giriş yapar. Giriş öncesinde istemci girilen şifrenin hash'ini önbellemiş ve orijinal şifre atılır ("orijinal şifre hiçbir koşulda önbellenemez", bu temel bir güvenlik rehberidir). İstemci Windows'a başarılı bir şekilde giriş yapan bir kullanıcı, sunucu kaynaklarına erişmeye çalışırsa diğer tarafa bir talep göndermelidir. İstekte açık metin içinde bir kullanıcı adı yer almaktadır.
Adım 2
Sunucu isteği aldığında, 16 bitlik rastgele bir sayı üretir. Bu rastgele sayıya meydan okuma veya nonce denir. Meydan okuma, sunucu onu istemciye göndermeden önce kaydedilir. Meydan okumalar açık metin olarak gönderilir.
3. Adım
Sunucu tarafından geri gönderilen meydan okumayı aldıktan sonra, istemci onu 1. adımda kaydedilen şifre hash'ıyla şifreler ve ardından şifrelenmiş meydan okumayı sunucuya gönderir.
4. Adım
İstemci tarafından geri gönderilen şifreli meydan okumayı aldıktan sonra, sunucu istemciye DC'ye (Domain) kimlik doğrulama talebi gönderir. İstek esas olarak şu üç içeriği içerir: istemci kullanıcı adı; Şifreli istemci şifre hash ile bir meydan okuma ve orijinal bir meydan okuma.
5. ve 6. Adımlar
DC, orijinal meydan okumayı kullanıcı adına göre hesabın şifre hash'ini elde ederek şifreler. Şifreli meydan okuma sunucu tarafından gönderilenle aynıysa, bu kullanıcının doğru şifreye sahip olduğu ve doğrulamanın geçtiği anlamına gelir, aksi takdirde doğrulama başarısız olur. DC, doğrulama sonuçlarını sunucuya gönderir ve sonunda istemciye geri aktarır.
Referans makaleler:
Bağlantı girişi görünür.
Bağlantı girişi görünür.
Bağlantı girişi görünür.
|
2020-9-5 13:28:14 tarihinde yayınlandı
|
|
|
|
