Cyfroteka.pl

klikaj i czytaj online

Cyfro
Czytomierz
00293 007780 11009292 na godz. na dobę w sumie
Bezpieczeństwo w Windows 2000. Czarna księga - książka
Bezpieczeństwo w Windows 2000. Czarna księga - książka
Autor: Liczba stron: 392
Wydawca: Helion Język publikacji: polski
ISBN: 83-7197-416-7 Data wydania:
Lektor:
Kategoria: ebooki >> komputery i informatyka >> hacking >> bezpieczeństwo systemów
Porównaj ceny (książka, ebook, audiobook).
Książka 'Bezpieczeństwo systemu Windows 2000. Czarna księga' stanie się niezastąpionym narzędziem dla specjalistów z dziedziny zabezpieczeń zajmujących się środowiskiem systemu Windows 2000. Zawiera wiele sposobów i wskazówek dotyczących wprowadzania bezpiecznych, lecz użytecznych, zasad sieciowych. Czytelnik znajdzie w niej informacje przydatne zarówno w niewielkich sieciach (do kilkuset użytkowników), jak i w sieciach rozległych, z których korzystają wielkie firmy międzynarodowe. Autor odkrywa tajemnice usług katalogowych Active Directory, zasad grupowych, protokołów zabezpieczeń, szyfrowania, zabezpieczeń z kluczem publicznym, certyfikatów zabezpieczeń, kart elektronicznych, zabezpieczeń protokołu IP, wirtualnych sieci prywatnych i programów narzędziowych związanych z bezpieczeństwem systemu Windows 2000.

Nie zwlekaj, lecz kup tę książkę, by:

Oprócz wyjaśnienia powyższych zgadnień, czytelnik może liczyć na: Książka ta jest przeznaczona dla:
Znajdź podobne książki Ostatnio czytane w tej kategorii

Darmowy fragment publikacji:

IDZ DO IDZ DO PRZYK£ADOWY ROZDZIA£ PRZYK£ADOWY ROZDZIA£ SPIS TRE(cid:140)CI SPIS TRE(cid:140)CI KATALOG KSI¥flEK KATALOG KSI¥flEK KATALOG ONLINE KATALOG ONLINE ZAM(cid:211)W DRUKOWANY KATALOG ZAM(cid:211)W DRUKOWANY KATALOG TW(cid:211)J KOSZYK TW(cid:211)J KOSZYK DODAJ DO KOSZYKA DODAJ DO KOSZYKA CENNIK I INFORMACJE CENNIK I INFORMACJE ZAM(cid:211)W INFORMACJE ZAM(cid:211)W INFORMACJE O NOWO(cid:140)CIACH O NOWO(cid:140)CIACH ZAM(cid:211)W CENNIK ZAM(cid:211)W CENNIK CZYTELNIA CZYTELNIA FRAGMENTY KSI¥flEK ONLINE FRAGMENTY KSI¥flEK ONLINE Wydawnictwo Helion ul. Chopina 6 44-100 Gliwice tel. (32)230-98-63 e-mail: helion@helion.pl Bezpieczeæstwo w Windows 2000. Czarna ksiŒga Autor: Ian McLean T‡umaczenie: Andrzej BŒdkowski ISBN: 83-7197-416-7 Tytu‡ orygina‡u: Book Format: B5, stron: 392 Windows 2000 Security. Little Black Ksi„¿ka (cid:132)Bezpieczeæstwo systemu Windows 2000. Czarna ksiŒga(cid:148) stanie siŒ niezast„pionym narzŒdziem dla specjalist(cid:243)w z dziedziny zabezpieczeæ zajmuj„cych siŒ (cid:156)rodowiskiem systemu Windows 2000. Zawiera wiele sposob(cid:243)w i wskaz(cid:243)wek dotycz„cych wprowadzania bezpiecznych, lecz u¿ytecznych, zasad sieciowych. Czytelnik znajdzie w niej informacje przydatne zar(cid:243)wno w niewielkich sieciach (do kilkuset u¿ytkownik(cid:243)w), jak(cid:160) i(cid:160) w(cid:160) sieciach rozleg‡ych, z kt(cid:243)rych korzystaj„ wielkie firmy miŒdzynarodowe. Autor odkrywa tajemnice us‡ug katalogowych Active Directory, zasad grupowych, protoko‡(cid:243)w zabezpieczeæ, szyfrowania, zabezpieczeæ z kluczem publicznym, certyfikat(cid:243)w zabezpieczeæ, kart elektronicznych, zabezpieczeæ protoko‡u IP, wirtualnych sieci prywatnych i program(cid:243)w narzŒdziowych zwi„zanych z bezpieczeæstwem systemu Windows(cid:160) 2000. Nie zwlekaj, lecz kup tŒ ksi„¿kŒ, by: zastosowa(cid:230) Active Directory do ustanawiania zasad zabezpieczeæ u¿ytkownika, grupy i komputera; skonfigurowa(cid:230) elastyczne zasady zabezpieczeæ za pomoc„ obiekt(cid:243)w zasad grupowych; delegowa(cid:230) zadania zwi„zane z bezpieczeæstwem systemu bez naruszania zasad domeny; zainstalowa(cid:230) systemy zabezpieczeæ z kluczem publicznym i kluczem tajnym; zastosowa(cid:230) protok(cid:243)‡ zabezpieczeæ Kerberos 5; wprowadzi(cid:230) szyfrowanie plik(cid:243)w i folder(cid:243)w oraz zasady odzyskiwania foldera zaszyfrowanego; zainstalowa(cid:230) jednostkŒ certyfikuj„c„ i wydawa(cid:230) certyfikaty; wprowadzi(cid:230) zasady logowania siŒ za pomoc„ kart elektronicznych; korzysta(cid:230) z narzŒdzi do tworzenia oprogramowania dla kart elektronicznych; wprowadzi(cid:230) zabezpieczenia internetowe za pomoc„ odwzorowywania certyfikat(cid:243)w oraz korzystania z(cid:160) wirtualnych sieci prywatnych; wprowadzi(cid:230) zabezpieczenia na poziomie sieci za pomoca protko‡u IPSec; korzysta(cid:230) z narzŒdzi programowych do konfigurowania zabezpieczeæ. Opr(cid:243)cz wyja(cid:156)nienia powy¿szych zgadnieæ, czytelnik mo¿e liczy(cid:230) na: proste, opisane krok po kroku, rozwi„zania problem(cid:243)w zwi„zanych z(cid:160) bezpieczeæstwem systemu Windows 2000; fachowe porady praktyczne umo¿liwiaj„ce osi„gniŒcie r(cid:243)wnowagi pomiŒdzy bezpieczeæstwem systemu a u¿yteczno(cid:156)ci„ systemu; specjalistyczne wskaz(cid:243)wki pomagaj„ce w podniesieniu kwalifikacji administratora zabezpieczeæ. Ksi„¿ka ta jest przeznaczona dla: administrator(cid:243)w sieci i administrator(cid:243)w zabezpieczeæ, informatyk(cid:243)w zajmuj„cych siŒ instalowaniem sieci bezpiecznych. O Autorze ...............................................................................................11 Przedmowa .............................................................................................13 Bezpieczeństwo w systemie Windows 2000...................................................w.......... 14 Dla kogo jest przeznaczona niniejsza książka?...................................................w...... 14 Nowości w systemie zabezpieczeń Windows 2000 .................................................. 15 Układ książki ...................................................w...................................................w....... 15 W jaki sposób korzystać z niniejszej książki ...................................................w......... 17 Rozdział 1. Bezpiecze(cid:24)stwo w systemie Windows 2000 ...........................................19 W skrócie...................................................w...................................................w............. 20 Active Directory w systemie Windows 2000 ...................................................o..................20 Zabezpieczenia rozproszone i protokoły zabezpieczeń ...................................................o...21 Korzystanie z kart inteligentnych ...................................................o....................................22 Szyfrowanie ...................................................o...................................................o..................23 Bezpieczeństwo protokołu IP ...................................................o..........................................23 Wirtualne sieci prywatne ...................................................o.................................................24 Narzędzia do konfigurowania i analizowania zabezpieczeń ..............................................24 Bezpośrednie rozwiązania ...................................................w...................................... 25 Struktura Active Directory ...................................................o..............................................25 Zintegrowane zarządzanie kontami zabezpieczeń...................................................o...........26 Wykorzystywanie obustronnych przechodnich relacji zaufania ........................................27 Delegowanie administrowania...................................................o.........................................29 Zastosowanie Listy kontroli dostępu do precyzyjnego ustalania praw dostępu.................30 Zastosowanie protokołów zabezpieczeń...................................................o..........................31 Zastosowanie interfejsu dostawcy zabezpieczeń...................................................o.............32 Zastosowanie protokołu uwierzytelniania Kerberos 5 ...................................................o....34 Zastosowanie certyfikatów z kluczem publicznym do zapewnienia bezpieczeństwa w Internecie...................................................o...............38 Implementowanie dostępu między przedsiębiorstwami...................................................o..43 Rozwiązania na skalę całego przedsiębiorstwa ...................................................o...............44 Zastosowanie danych uwierzytelniających protokołu NTLM............................................45 Zastosowanie danych uwierzytelniających w przypadku stosowania protokołu Kerberos ...................................................o...............45 Zastosowanie par kluczy prywatny-publiczny i certyfikatów .................................................45 Zastosowanie protokołu IPSec ...................................................o........................................47 Zastosowanie Wirtualnych sieci prywatnych ...................................................o..................48 Zastosowanie narzędzi do konfigurowania zabezpieczeń ..................................................49 Zmiana systemu z Windows NT 4 na Windows 2000 ...................................................o....51 6 Bezpieczeństwo w Windows 2000. Czarna księga Rozdział 2. Active Directory i Lista kontroli dostpu .................................................53 W skrócie...................................................w...................................................w............. 53 Active Directory w systemie Windows 2000 ...................................................o..................53 Bezpośrednie rozwiązania ...................................................w...................................... 56 Obsługa standardów otwartych...................................................o........................................56 Obsługa standardowych formatów nazw...................................................o.........................57 Zastosowanie interfejsów API...................................................o.........................................58 Zastosowanie programu Windows Scripting Host ...................................................o..........61 Możliwości rozbudowy ...................................................o...................................................o64 Zastosowanie zabezpieczeń rozproszonych ...................................................o....................69 Zastosowanie rozszerzenia ustawienia zabezpieczeń edytora zasad grupy........................70 Analiza domyślnych ustawień kontroli dostępu ...................................................o..............72 Analiza członkostwa w grupach domyślnych...................................................o..................76 Przełączanie pomiędzy kontekstami użytkowników ...................................................o.......78 Synchronizacja komputerów po aktualizacji systemu z domyślnymi ustawieniami zabezpieczeń ...................................................o...................78 Zastosowanie przystawki Szablony zabezpieczeń...................................................o...........79 Zastosowanie Edytora listy kontroli dostępu...................................................o...................82 Rozdział 3. Zasady grup ...........................................................................................85 W skrócie...................................................w...................................................w............. 86 Możliwości zasad grup i korzyści z ich stosowania ...................................................o........86 Zasady grup a usługi Active Directory...................................................o............................87 Rozwiązania natychmiastowe ...................................................w................................ 90 Łączenie zasad grup ze strukturą Active Directory ...................................................o.........90 Konfigurowanie przystawki Zarządzanie Zasadami grup ..................................................91 Dostęp do zasad grup domeny lub jednostki organizacyjnej..............................................92 Tworzenie obiektu zasad grup ...................................................o.........................................93 Edycja obiektu zasad grup ...................................................o...............................................95 Nadawanie użytkownikowi prawa do logowania się lokalnie na kontrolerze domeny......96 Zarządzanie Zasadami grup...................................................o.............................................97 Dodawanie lub przeglądanie obiektu zasad grup ...................................................o............98 Ustanawianie dziedziczenia i zastępowania zasad grup ...................................................o100 Wyłączanie części obiektu zasad grupy ...................................................o........................103 Dołączanie obiektu zasad grup do wielu lokacji, domen i jednostek organizacyjnych....104 Administrowanie zasadami bazujących na Rejestrze ...................................................o....106 Przygotowywanie skryptów...................................................o...........................................110 Ustawianie odpowiednich uprawnień dla poszczególnych członków grup zabezpieczeń ...................................................o......112 Dopasowanie zasad do danego komputera za pomocą sprzężenia zwrotnego .................114 Konfigurowanie zasad inspekcji...................................................o....................................118 Rozdział 4. Protokoły zabezpiecze(cid:24) .........................................................................121 W skrócie...................................................w...................................................w........... 121 Protokoły...................................................o...................................................o................ .....121 Rozwiązania natychmiastowe ...................................................w.............................. 123 Konfigurowanie protokołów ze wspólnym kluczem tajnym............................................123 Zastosowanie Centrum dystrybucji kluczy...................................................o....................126 Podstawowe wiadomości o podprotokołach protokołu Kerberos ....................................129 Uwierzytelnianie logowania ...................................................o..........................................132 Analiza biletów protokołu Kerberos...................................................o..............................138 Delegowanie uwierzytelniania...................................................o.......................................141 Konfigurowanie zasad protokołu Kerberos domeny ...................................................o.....142 Zastosowanie interfejsu dostawcy obsługi zabezpieczeń .................................................144 Spis treści 7 Rozdział 5. System szyfrowania plików....................................................................149 W skrócie...................................................w...................................................w........... 149 Dlaczego konieczne jest szyfrowanie danych ...................................................o...............149 System szyfrowania plików...................................................o...........................................150 Rozwiązania natychmiastowe ...................................................w.............................. 155 Zastosowanie polecenia Cipher ...................................................o.....................................155 Szyfrowanie foldera lub pliku ...................................................o.......................................156 Odszyfrowywanie foldera lub pliku ...................................................o..............................158 Kopiowanie, przenoszenie i zmiana nazwy zaszyfrowanego foldera lub pliku ...............159 Wykonywanie kopii zapasowych plików lub folderów zaszyfrowanych.........................160 Odtwarzanie zaszyfrowanego foldera lub pliku ...................................................o............162 Odtwarzanie plików do innego komputera...................................................o....................164 Zabezpieczenia domyślnego klucza odzyskiwania na pojedynczym komputerze ...........167 Zabezpieczanie domyślnego klucza odzyskiwania dla domeny.......................................168 Dodawanie agentów odzyskiwania...................................................o................................169 Ustawianie zasad odzyskiwania dla konkretnej jednostki organizacyjnej .......................172 Odzyskiwanie pliku lub foldera...................................................o.....................................172 Wyłączanie systemu szyfrowania plików dla określonego zestawu komputerów ...........173 Rozdział 6. Klucze publiczne ...................................................................................175 W skrócie...................................................w...................................................w........... 175 Kryptografia z kluczem publicznym ...................................................o................................175 Ochrona i określanie zaufania do kluczy kryptograficznych ...........................................177 Składniki Infrastruktury klucza publicznego systemu Windows 2000 ............................179 Rozwiązania natychmiastowe ...................................................w.............................. 182 Uaktywnianie klientów domeny ...................................................o....................................182 Stosowanie zabezpieczeń z kluczem publicznym systemu Windows 2000.....................188 Ustawianie zabezpieczeń sieci Web ...................................................o..............................190 Zastosowanie uwierzytelniania za pomocą klucza publiczonego w programie Internet Explorer ...................................................o....................................191 Konfigurowanie programu Microsoft Outlook, aby korzystał z protokołu Secure Sockets Layer ...................................................o........193 Konfigurowanie zabezpieczeń poczty elektronicznej z zaostosowaniem klucza publicznego...................................................o...................................................o...194 Konfigurowanie zabezpieczeń z zastosowaniem klucza pubolicznego dla programu Outlook Express...................................................o....................................195 Konfigurowanie zabezpieczeń z zastosowaniem klucza pubolicznego dla programu Microsoft Outlook................................................o....................................200 Uzyskiwanie współdziałania ...................................................o.........................................202 Rozdział 7. Usługi certyfikatów ...............................................................................205 W skrócie...................................................w...................................................w........... 205 ....205 Certyfikaty ...................................................o...................................................o.............. Instalowanie urzędu certyfikacji w przedsiębiorstwie...................................................o...208 Relacja zaufania w strukturach hierarchicznych z wieloma urzędami certyfikacji..........209 Rozwiązania natychmiastowe ...................................................w.............................. 210 Instalowanie urzędu certyfikacji...................................................o....................................210 Zastosowanie stron internetowych usług certyfikatów...................................................o..213 Instalowanie certyfikatów urzędów certyfikacji...................................................o..............215 Żądanie certyfikatów zaawansowanych ...................................................o........................219 Rejestrowanie za pomocą pliku żądania w formacie PKCS #10......................................222 Konfigurowanie relacji zaufania pomiędzy domeną a zewnętrznym urzędem certyfikacji...................................................o...........................223 Instalowanie automatycznego żądania certyfikatów dla komputerów .............................224 8 Bezpieczeństwo w Windows 2000. Czarna księga Uruchamianie i zatrzymywanie usług certyfikatów ...................................................o......225 Wykonywanie kopii zapasowych i odtwarzanie usług certyfikatów................................226 Wyświetlanie dziennika i bazy danych usług certyfikatów..............................................228 Odwoływanie wydanych certyfikatów i publikowanie Listy odwołań certyfikatów .......230 Konfigurowanie modułów zasad i modułów zakończenia dla usług certyfikatów ..........232 Rozdział 8. Mapowanie certyfikatów do kont urytkowników....................................235 W skrócie...................................................w...................................................w........... 235 Dlaczego konieczne jest mapowanie certyfikatów...................................................o........235 Rodzaje mapowania...................................................o...................................................o....236 Gdzie dokonywane jest mapowanie?...................................................o.............................237 Rozwiązania natychmiastowe ...................................................w.............................. 238 Instalowanie certyfikatu użytkownika...................................................o...........................238 Eksportowanie certyfikatu ...................................................o.............................................241 Instalowanie certyfikatu urzędu certyfikacji ...................................................o.................243 Konfigurowanie Active Directory, dla mapowania głównej nazwy użytkownika...........244 Konfigurowanie Active Directory, dla mapowania jeden-do-jednego.............................249 Konfigurowanie Internetowych usług informacyjnych (IIS) dla mapowania jeden-do-jednego..................................................o.................................250 Konfigurowanie Active Directory, dla mapowania wiele-do-jednego.............................252 Konfigurowanie Internetowych usług informacyjnych (IIS) dla mapowania wiele-do-jednego..................................................o.................................253 Testowanie mapowania ...................................................o.................................................254 Rozdział 9. Karty inteligentne .................................................................................259 W skrócie...................................................w...................................................w........... 259 Co to jest karta inteligentna? ...................................................o.........................................259 Współdziałanie kart inteligentnych ...................................................o...............................261 Obsługiwane karty inteligentne ...................................................o.....................................263 Obsługiwane czytniki kart inteligentnych ...................................................o.....................264 Rozwiązania natychmiastowe ...................................................w.............................. 265 Instalowanie czytników kart inteligentnych ...................................................o..................265 Instalowanie stacji rejestrowania kart inteligentnych...................................................o....267 Wydawanie kart inteligentnych ...................................................o.....................................270 Logowanie za pomocą kart inteligentnych ...................................................o....................273 Wdrażanie kart inteligentnych...................................................o.......................................278 Rozwiązywanie problemów związanych z kartami inteligentnymi .................................280 Zabezpieczanie stacji rejestrowania kart inteligentnych ..................................................282 Umieszczanie aplikacji na kartach inteligentnych...................................................o.........283 Zastosowanie pakietu Smart Card Software Development Kit...........................................284 Zastosowanie interfejsów API firmy Microsoft ...................................................o............289 Zastosowanie interfejsu Java Card API 2.1...................................................o...................291 Zastosowanie osnowy aplikacji OpenCard...................................................o....................292 Rozdział 10. Zabezpieczenia protokołu IP..................................................................295 W skrócie...................................................w...................................................w........... 295 Zabezpieczenia za pomocą IP Security ...................................................o.........................295 Właściwości IPSec...................................................o...................................................o......296 Skojarzenia zabezpieczeń ...................................................o..............................................298 Rozwiązania natychmiastowe ...................................................w.............................. 300 Analiza działania IPSec ...................................................o.................................................300 Ustawienia IPSec ...................................................o...................................................o........301 Konfigurowanie IPSec na pojedynczych komputerach ...................................................o.305 Konfigurowanie IPSec dla domeny ...................................................o...............................309 Spis treści 9 Zmiana metody zabezpieczeń...................................................o........................................310 Konfigurowanie IPSec dla jednostki organizacyjnej...................................................o.....311 Rozdział 11. Wirtualne sieci prywatne .......................................................................315 W skrócie...................................................w...................................................w........... 315 Zastosowanie Wirtualnych sieci prywatnych ...................................................o................315 Tunelowanie ...................................................o...................................................o...............316 Uwierzytelnianie...................................................o...................................................o.........318 Porównanie protokołów PPTP i L2TP ...................................................o..........................319 Protokół RADIUS...................................................o...................................................o.......320 Rozwiązania natychmiastowe ...................................................w.............................. 321 Określanie strategii Wirtualnych sieci prywatnych ...................................................o.......321 Konfigurowanie serwera VPN...................................................o.......................................326 Konfigurowanie serwera VPN...................................................o.......................................328 Konfigurowanie klienta VPN ...................................................o........................................329 Organizowanie kont użytkowników usługi Dostęp zdalny ..............................................331 Tworzenie zasad dostępu zdalnego dla połączeń VPN router-router ...............................332 Włączanie uwierzytelniania wzajemnego...................................................o......................333 Automatyczne uzyskiwanie certyfikatu komputera...................................................o.......334 Dodawanie portów L2TP i PPTP ...................................................o..................................335 Konfigurowanie serwera usługi RADIUS ...................................................o.....................336 Rozdział 12. Narzdzia do konfigurowania i analizowania zabezpiecze(cid:24)........................337 W skrócie...................................................w...................................................w........... 337 Narzędzia do konfigurowania...................................................o........................................337 Ustawienia szablonów zabezpieczeń ...................................................o.............................339 Skonfigurowane wstępnie Szablony zabezpieczeń ...................................................o.......340 Rozwiązania natychmiastowe ...................................................w.............................. 342 Tworzenie i analizowanie konfiguracji zabezpieczeń ...................................................o...342 Edytowanie konfiguracji zabezpieczeń ...................................................o.........................344 Eksportowanie konfiguracji zabezpieczeń ...................................................o....................346 Edytowanie Szablonów zabezpieczeń ...................................................o...........................347 Zastosowanie polecenia Secedit ...................................................o....................................349 Dodatek A Słownik ................................................................................................355 Dodatek B Podstawowe informacje ........................................................................369 Polecenia uruchamiane z linii poleceń ...................................................w................. 369 Dokumenty RFC...................................................w...................................................w 369 Grupy i organizacje ...................................................w.............................................. 370 Źródła informacji...................................................w.................................................. 371 Strona powitalna usług certyfikatów Microsoftu...................................................w... 372 Magazyny certyfikatów CryptoAPI ...................................................w..................... 372 Zawartość biletu protokołu Kerberos ...................................................w................... 372 Domyślne ustawienia zabezpieczeń ...................................................w..................... 374 Zdefiniowane wstępnie szablony zabezpieczeń ...................................................w... 374 Host skryptów Cscript ...................................................w.......................................... 375 Program narzędziowy Cipher ...................................................w............................... 376 Polecenie Secedit...................................................w.................................................. 377 Skorowidz.............................................................................................379 Rozdział 4. W tym rozdziale: (cid:1) Konfigurowanie protokołów ze wspólnymi kluczami tajinymi. (cid:1) Zastosowanie Centrum dystrybucji kluczy. (cid:1) Podstawowe wiadomości o podprotokołach protokołu Kerbieros. (cid:1) Analiza biletów protokołu Kerberos. (cid:1) Delegowanie uwierzytelniania. (cid:1) Konfigurowanie zasad domeny protokołu Kerberos. (cid:1) Zastosowanie interfejsu dostawcy obsługi zabezpieczień. W skrócie Protokoły Protokoły są zasadniczą częścią każdego systemu zabezpieczeń, a podstawowe wiado- mości o protokołach zastosowanych w systemie Windows 2000 są koniecznym ele- mentem wyposażenia administratora. Jednak protokołów nie konfiguruje się od razu, jak np. Active Directory czy zasady grup. Przed przystąpieniem do konfigurowania protokołu, konieczna jest znajomość zasad ich działania oraz skutków, jakie pociągają za sobą wprowadzane zmiany. Niniejszy rozdział zawieira więcej teorii niż którykolwiek z pozostałych w tej książce i jednocześnie mniej gotowych rozwiązań i opisów czynności. Nie jest to bynajmniej złe — pokaźna wiedza o protokołach zabezpieczeń jest konieczna. Zabezpieczenia warstwy transportowej oparte na protokole Secure Sockets Layer 3 (SSL 3/TLS) opisano w rozdziale 6., przy okazji omawiania certyfikatów z kluczem publicznym. Zabezpieczenia protokołu IP na poziomie sieci omówiono w rozdziale 10. Pozostaje NT LAN Manager (NTLM) i protokół Kerberos 5. Protokołu NTLM używa się, aby zapewnić zgodność wsteczną z poprzednimi wersjami sieciowych systemów operacyjnych Microsoftu, takimi jak Windows NT 4 i LAN Manager. Tak więc większa część niniejszego rozdziału poświęcona jest protokołowii Kerberos. Rozwizania pokrewne: Ustawianie zabezpiecze(cid:14) sieci Web Na stronie: 190 122 Bezpiecze(cid:22)stwo w Windows 2000. Czarna ksiga Porównanie protokołów NTLM i Kerberos Dostawca zabezpieczeń NTLM w celu uwierzytelniania korzysta z procedury wyzwanie- odpowiedź. Dostawca zabezpieczeń zna hasło danego użytkownika lub, ściślej mówiąc, wyciąg uzyskany za pomocą funkcji mieszającej MD4. Za pomocą funkcji mieszającej MD4 szyfruje losowo wygenerowany blok danych i odsyła go do klienta (wyzwanie — challenge). Następnie klient rozszyfrowuje blok danych i przesyła z powrotem do ser- wera. Jeśli klient również zna prawidłowe hasło, dane zostaną rozszyfrowane poprawnie i serwer zarejestruje danego klienta jako uwierzytelnionego. Z kolei dostawca zabezpie- czeń generuje niepowtarzalny znacznik dostępu (access token), który jest przesyłany do klienta, aby korzystał z niego w przyszłości. Kolejne uwierzytelnienia klienta dokony- wane są na podstawie tego znacznika i dostawca zabezpieczeń NTLM nie musi powta- rzać procedury uwierzytelniania wyzwanie-odpowiedź. MD2, MD4 i MD5 s algorytmami wyznaczania funkcji mieszajcej wiadomolci opracowanych dla potrzeb aplikacji tworzcych podpiszy cyfrowe, w których dury blok wiadomolci musi zostać „skompresowany” w sposób bezpieczny, zanim zostanie podpisany za pomoc klucza prywatnego. Opis i kody pzródłowe wymienionych powyrej trzech algorytmów morna znalepć w dokumentach RFC od 1319 do 1321. Wicej informacji dostpnych jest na stronie internetowej RSAz Laboratory www.rsasecurity.com/ rsalabs/, a szczególnie pod adresem www.rsasecurity.com/rsalabs/faq/3-6-6.html. Protokół Kerberos korzysta z idei biletów pośrednich (proxy tickets). Weźmy pod uwagę, np. proces A, który wywołuje aplikację B. Następnie aplikacja B staje się personifikacją procesu A, tzn. aplikacja B w ustalony sposób działa jak A. Jednak jeśli B, działając jako A, wywoła inną aplikację (C), to domyślnie aplikacja C będzie personifikacją B, a nie A, po- nieważ uprawnienia dotyczące zabezpieczeń procesu A nie zostaną delegowane do apli- kacji C. Prawdziwe delegowanie — takie, jakie zapewnia protokół Kerberos — oznacza, że jeśli aplikacja B, która jest działającym wątkiem (thread) A, wywoła inną aplikację — C — to aplikacja C może być personifikacją A. Aplikacja B posiada bilet pośredni (proxy ticket) aplikacji A, który umożliwia personifikację A niawet, jeśli wywołuje inne aplikacje. Komputery pracujące pod kontrolą systemów Windows 3.11, Windows 9x lub Win- dows NT 4 będą korzystały z protokołu NTLM przy uwierzytelnianiu sieciowym w do- menach Windows 2000. Komputery pracujące pod kontrolą systemu Windows 2000 będą korzystały z protokołu NTLM w przypadku uwierzytelniania przez serwery syste- mu Windows NT 4 i przy dostępie do zasobów znajdujących się w domenach systemu Windows NT 4. Ale w systemie Windows 2000 głównym protokołem jest Kerberos. Korzyści z zastosowania protokołu Kerberos do uwierzytelniania są następujące: (cid:1) uwierzytelnianie wzajemne — protokół NTLM pozwala serwerowi na weryfikowanie tożsamości klientów, ale nie umożliwia iklientom sprawdzania tożsamości serwera ani nie daje serwerowi możliwości izweryfikowania tożsamości innego serwera. Protokół Kerberos gwarantuje, że obydwie strony połączenia sieciowego wiedzą, że druga strona połączenia jest tyim, za co się podaje, (cid:1) szybsze połączenia — w przypadku uwierzytelniania za pomocą protokołu iNTLM serwer aplikacji, aby uwierzytelnić każdego klienta, musi dołączyć się do kontrolera domeny. W przypadku uwierzytelniania za pomocą protiokołu Kerberos, serwer nie musi odwoływać się do kontrolera domeny, ale zamiast itego może uwierzytelnić klienta, sprawdzając jego dane uwierzytelniające. Kliienci uzyskują dane uwierzytelniające dla danego serwera tylko raz, a potem korzystają z nich ponownie w trakcie logowania sieciowego, Rozdział 4.  Protokoły zabezpiecze(cid:22) 123 (cid:1) prostsze zarządzanie relacjami zaufania — jedną z głównych korzyści uwierzytelniania wzajemnego w przypadku protokołu Kerberos jest to, że relacje zaufania pomiędzy domenami systemu Windows i2000 domyślnie są obustronne i przechodnie. Jeśli sieć zawiera kilka drziew, to dane uwierzytelniające — wydane przez domenę w dowolnym drzewie — są uznawanei w całym drzewie, Przechodnia relacja zaufania oznacza, re jelli A ufa B zi B ufa C, to A ufa C. Relacje zaufania ustanawiane za pomoc protokołu Kerberos s przechodnie, a relacje ustanawiane za pomoc protokołu NTLM — nie. (cid:1) uwierzytelnianie delegowane — zarówno protokół NTLM, jak i protokół Kerberos dostarczają informacji potrzebnych usłudze do persoinifikowania swojego klienta lokalnie, ale niektóre aplikacje rozproszone zostały zaprojektowane tak, że usługa zewnętrzna musi personifikować klientóiw, łącząc się z usługami wewnętrznymi na innym komputerze. Protokół Kerberos zawiera mechanizm pośredniczący, który pozwala usłudze na personifikowainie klienta, kiedy ten łączy się z innymi usługami. Protokół NTLM takiego mechanizmu nie zawiera, (cid:1) współdziałanie — implementacja protokołu Kerberos w wersji firmy Microsoft jest oparta na specyfikacji przedstawionej grupie rioboczej Internet Engineering Task Force (IETF). W wyniku tego implementacja protokołu Kerberos w systemie Windows 2000 stanowi podstawę współdziałania z innymi isieciami (szczególnie z sieciami zgodnymi ze standardem POSIX), w których do uwierzytelniania stosuje się protokół Kerberos. Protokół uwierzytelniania Kerberos umożliwia wzajemne uwierzytelnianie pomiędzy klientem a serwerem oraz pomiędzy dwoma serwerami, zanim pomiędzy nimi zostanie ustanowione połączenie sieciowe. Protokół przyjmuje, że początkowe transakcje po- między klientami a serwerami mają miejsce w otwartej sieci, w której większość kom- puterów nie jest zabezpieczonych i „napastnicy” mogą monitorować oraz dowolnie mo- dyfikować pakiety tak, jak w Internecie. Protokół Kerberos gwarantuje, że nadawca wie, kim jest odbiorca i odwrotnie oraz gwarantuje, że nikt z zewnątrz nie będzie mógł się podawać za żadną ze stron. Rozwizania natychmiastowe Konfigurowanie protokołów ze wspólnym kluczem tajnyfm W protokole Kerberos zastosowano uwierzytelnianie wymagające wspólnych kluczy tajnych. Jeśli tylko dwoje ludzi zna klucz tajny, wówczas każdy z nich może zweryfi- kować tożsamość drugiej strony przez uzyskanie potwierdzenia, że osoba ta zna ten sam klucz tajny. Załóżmy, że np. Bonnie często wysyła wiadomości do Clyde’a, który musi mieć pewność, że wiadomość od Bonnie jest autentyczna, zanim zacznie działać zgodnie z otrzymanymi informacjami. Bonnie i Clyde jako rozwiązanie tego problemu wybrali hasło, które nie będzie udostępniane nikomu innemu. Jeśli z wiadomości od Bonnie bę- dzie wynikało, że nadawca zna to hasło, Clyde będzie wiiedział, że nadawcą jest Bonnie. 124 Bezpiecze(cid:22)stwo w Windows 2000. Czarna ksiga W jaki sposób Bonnie pokaże, że zna to hasło? Mogłaby zamieścić w zakończeniu swojej wiadomości coś na wzór bloku podpisu. Jest to sposób prosty i wydajny, ale bę- dzie bezpieczny tylko wtedy, gdy Bonnie i Clyde będą pewni, że nikt inny nie czyta ich poczty. Niestety, wiadomości są przesyłane przez sieć, z której korzysta Szeryf, posia- dający analizator sieci. Tak więc Bonnie, podając jedynie hasło, nie może udowodnić, że je zna, tylko musi wykazać się jego znajomością bez iprzesyłania przez sieć. W protokole Kerberos rozwiązano ten problem za pomocą kryptografii z kluczem taj- nym. Zamiast współdzielenia hasła, partnerzy komunikacji współdzielą klucz i stosują go do weryfikowania tożsamości drugiej strony. Klucz wspólny musi być symetryczny. Innymi słowy, ten sam klucz służy do szyfrowania i odszyfrowywania. Jedna ze stron udowadnia znajomość klucza poprzez zaszyfrowanie części danych, a druga — rozszy- frowując te dane. Uwierzytelnianie za pomocą klucza tajnego rozpoczyna się, gdy jedna ze stron przedstawi wartość uwierzytelniającą w postaci części danych zaszyfrowanych za pomocą klucza tajnego. Zestaw danych do tworzenia wartości uwierzytelniającej za każdym razem musi być inny, w przeciwnym razie stara wartość uwierzytelniająca mo- głaby być wykorzystana ponownie przez kogoś, komu udałoby się podsłuchać wymianę danych. Po otrzymaniu wartości uwierzytelniającej odbiorca odszyfrowuje ją. Jeśli od- szyfrowanie przebiegło pomyślnie, to odbiorca wie, że osoba przedstawiająca tę war- tość zna właściwy klucz. Tylko dwoje ludzi ma właściwy klucz; odbiorca jest jedną z nich, więc osoba przedstawiająca wartość uwierzytelniiającą musi być tą drugą. Przyjto, re dwie i tylko dwie osoby posiadaj klucz ztajny. Jelli byłby on znany osobie trzeciej — przestałby być tajnym. Jeśli dane są pobierane z zaufanego źródła, odbiorca musi upewnić się, czy źródło jest tym, czym rzekomo jest oraz czy informacje nie zostały po drodze sfałszowane. Nie jest to mało znaczący problem, ale parametry są ustalone i można znaleźć właściwe rozwiązanie. Należy wrócić uwagę, że w kontekście bezpieczeństwa nie ma rozwiązań doskonałych. W przypadku komunikacji dwukierunkowej, kiedy wymagane jest uwierzytelnianie wza- jemne, pojawiają się nowe problemy, zwłaszcza gdy dochodzi do współdzielenia kluczy tajnych i konieczne jest zastosowanie nowych narzędzii do rozwiązania tych problemów. Odbiorca, aby zapewnić uwierzytelnianie wzajemne, może wziąć część danych z pierwot- nej wartości uwierzytelniającej, zaszyfrować je, tworząc nową wartość uwierzytelniającą, którą wysyła do nadawcy, który z kolei może odszyfrować wartość uwierzytelniającą odbiorcy i porównać z oryginałem. Jeśli zgadzają się, nadawca będzie wiedział, że od- biorca był w stanie odszyfrować oryginał, a więc ma wiłaściwy klucz. Załóżmy, np. że Bonnie i Clyde zadecydowali, iż do weryfikowania tożsamości drugiej strony, przed przesłaniem jakichkolwiek informacji, będą korzystać ze wspólnego klucza tajnego. Uzgodnili w ten sposób następujący protokół:i 1. Bonnie wysyła do Clyde’a komunikat zawierający jej imiię zapisane otwartym tekstem oraz wartość uwierzytelniającą zaszyfrowaną zai pomocą klucza tajnego współdzielonego z Clydem. W tym protokole wartość uwiierzytelniająca jest strukturą danych zawierającą dwa pola. Jedno pole zawiiera informacje o Bonnie — np. nazwisko (Parker). Drugie pole zawiera aktualny iczas wskazywany na stacji roboczej Bonnie. Rozdział 4.  Protokoły zabezpiecze(cid:22) 125 2. Clyde otrzymuje wiadomość i za pomocą klucza współdziielonego z Bonnie odszyfrowuje wartość uwierzytelniającą i odczytuje polie zawierające czas ze stacji roboczej Bonnie. 3. Załóżmy, że oboje używają usługi sieciowej, która syncihronizuje zegary w ich komputerach. Tak więc Clyde może porównać czas odczytainy z wartości uwierzytelniającej z czasem wskazywanym przez zegari w jego komputerze. Jeśli różnica przekracza ustaloną granicę, Clyde odrzucia wartość uwierzytelniającą. 4. Jeśli czas ten mieści się w dopuszczalnym zakresie, to wartość uwierzytelniająca prawdopodobnie pochodzi od Bonnie, ale Clyde nadal niie ma na to dowodu. Szeryf mógł obserwować ruch w sieci i teraz powtórzyłi wcześniejszą próbę ustanowienia połączenia przez Bonnie. Jednak jeśli Clyde zapisał czasy uzyskane z wartości uwierzytelniających przesłanych przez Bonnie, wtedy może udaremnić próby powtarzania wcześniejszych wiadomości, odrzucajiąc każdą wiadomość, której czas jest taki sam lub wcześniejszy niż czas iostatniej wartości uwierzytelniającej. W poprzednim akapicie opisano atak metod powtórzenzia (replay attack). Jest to okrellenie warte zapamitania, poniewar osoby zajmujzce si zabezpieczeniami polwicaj takim atakom wiele uwagi. 5. Clyde używa klucza współdzielonego z Bonnie do zaszyifrowania czasu uzyskanego z komunikatu przesłanego przez Bonnie i iwysyła go do niej z powrotem. Należy zwrócić uwagę, że Clyde nie odsyła iwszystkich informacji zawartych w wartości uwierzytelniającej, ale tylko czas. Gdyby odesłał wszystko, Bonnie nie miałaby sposobu, aby dowiedzieć się, czy ktioś udający Clyde’a po prostu nie skopiował wartości uwierzytelniającej iz oryginalnego komunikatu Bonnie i nie wysłał do niej w niezmienionej postacii. Clyde wybrał czas, ponieważ jest to jedyna niepowtarzalna w komunikaciie część informacji, którą przesłała Bonnie. 6. Bonnie otrzymuje odpowiedź od Clyde’a, odszyfrowuje jią i porównuje wynik z czasem zamieszczonym w wartości uwierzytelniająceji , którą wysłała. Jeśli czas zgadza się, Bonnie może być pewna, że jej waritość uwierzytelniająca dotarła do kogoś, kto zna klucz tajny, konieczny do iodszyfrowania tej wartości i oczytania czasu. Klucz tajny Bonnie współdzieli tiylko z Clyde’m., więc to on odebrał jej komunikat i odpowiedział. Zarówno nadawica, jak i odbiorca mogą mieć zaufanie co do danego połączenia. Na rysunku 4.1 iprzedstawiono proces wzajemnego uwierzytelniania. Rysunek 4.1. Uwierzytelnianie wzajemne 126 Bezpiecze(cid:22)stwo w Windows 2000. Czarna ksiga Zastosowanie Centrum dystrybucji kluczy Poprzednia procedura ma pewien mankament — nie wyjaśnia jak ani skąd Bonnie i Clyde uzyskali klucz tajny, z którego korzystają podczas sesji. Dla jasności na potrze- by poprzedniej procedury przyjęto, że Bonnie i Clyde są ludźmi, którzy mogliby się spotkać i uzgodnić współdzielony klucz tajny. W rzeczywistości Bonnie może być pro- gramem-klientem pracującym na stacji roboczej, a Clyde — usługą uruchomioną na serwerze sieciowym. Następnym problemem jest to, że klient, Bonnie, komunikuje się z wieloma serwerami, więc potrzebne są klucze dla każidego z nich, a Clyde komunikuje się z wieloma klientami i również konieczne są klucze dla każdej sesji. Jeśli klient ma mieć klucz do każdej usługi, a każda usługa ma mieć klucz dla każdego klienta, to dys- trybucja kluczy może szybko skomplikować się i stanowiić znaczące zagrożenie. W niniejszym rozdziale i w innych fragmentach ksirkiz, w których urywa si przykładu Bonnie i Clyde’a, okrella si ich jako „ona” i „on”. Jak podzano w poprzednim fragmencie Bonnie i Clyde mog być programami lub usłuzgami, ale analogia nadal jest warna. Urywanie okrelle(cid:14) „ona” i „on” nie musi oznaczać, zre Bonnie i Clyde s ludpmi. Protokół Kerberos rozwiązuje ten problem, określając trzy jednostki: klienta, serwer i zaufanym urzędem niezależnym, która jest pośrednikiem pomiędzy nimi. Ten zaufany pośrednik nosi nazwę Centrum dystrybucji kluczy (Key Distribution Center — KDC). Obecnie zwiksza si zapotrzebowanie na niezalerne fizrmy dostarczajce klucze tajne i zarzdzajce nimi, które działaj jako zaufani polrzednicy. Jelli jestel przedsibiorczy i bierzesz pod uwag morliwolć działalnolci komercyjnejz, warto to przemylleć. Usługa Centrum dystrybucji kluczy jest uruchomiona na serwerze, który jest fizycznie za- bezpieczony i obsługuje bazę danych o kontach wszystkich obiektów typu security prin- cipal w swoim obszarze, który jest w protokole Kerberos odpowiednikiem domeny syste- mu Windows 2000. Razem z informacjami o każdym z obiektów typu security principal, Centrum dystrybucji kluczy przechowuje również klucz szyfru (cryptographic key), znany tylko obiektowi typu security principal i Centrum dystrybucji kluczy. Klucz ten jest używany przy wymianie informacji pomiędzy obiektem zabezpieczeń głównych (security principal) i centrum oraz jest określany jako klucz długoterminowy (long term key). Zazwyczaj uzyskuje się go na podstawie hasła logowania obiektu typu security principal. Zamknij serwer Centrum dystrybucji kluczy w zabezpieczonym pokoju i nie dołczaj klawiatury ani monitora. Administruj tym serwerem zez stacji roboczej-klienta z zainstalowanym odpowiednim oprogramowaniem. Dokonuj inspekcji kardego dostpu lub próby dostpu do serwera. Jelli twoje Centrum dystrybucji kluczy nie jest bezpieczne, to nic innego nie jest bezpieczne. Klient, który chce skomunikować się z serwerem, wysyła żądanie do Centrum dystry- bucji kluczy, które przydziela obu stronom unikatowy, krótkoterminowy (short term) klucz sesji, służący wzajemnemu uwierzytelnianiu. Kopia klucza sesji serwera jest za- szyfrowana w kluczu długoterminowym serwera. Kopia klucza sesji klienta jest zaszy- frowana w kluczu długoterminowym klienta. Rozdział 4.  Protokoły zabezpiecze(cid:22) 127 Teoretycznie Centrum dystrybucji kluczy mogłoby wysyłać klucz sesji bezpośrednio do każdego obiektu typu security principal, którego to dotyczy, ale w praktyce taka proce- dura byłaby skrajnie niewydajna. Wymagałaby od serwera zachowywania w pamięci swojego klucza sesji podczas oczekiwania na wywołanie przez klienta. Ponadto serwer musiałby pamiętać klucze dla wszystkich klientów, którzy mogliby żądać obsługi. Za- rządzanie kluczami zajęłoby niewspółmiernie dużą część zasobów serwera i nie dałoby możliwości rozbudowy. Protokół Kerberos rozwiązuje ten problem za pomocą biletów sesji (session tickets). Zastosowanie biletów sesji Centrum dystrybucji kluczy odpowiada na żądanie klienta, wysyłając do niego kopię klucza sesji serwera i klucza sesji klienta, jak przedstawiono na rysunku 4.2. Kopia klucza sesji klienta jest zaszyfrowana za pomocą klucza, który centrum dystrybucji współdzieli z klientem. Kopia klucza sesji serwera jest umieszczona razem z informacjami o kliencie w strukturze danych o nazwie bilet sesji (session ticket), a cała struktura jest zaszyfrowa- na za pomocą klucza, który Centrum dystrybucji kluczy współdzieli z serwerem. Klient korzysta z biletu sesji, kiedy kontaktuje się z serwierem. Rysunek 4.2. Dystrybucja kluczy Centrum dystrybucji kluczy nie śledzi swoich komunikatów, aby w ten sposób upewnić się, czy dotarły pod właściwy adres — po prostu wydaje bilet. Jeśli komunikat wysłany przez centrum KDC dostanie się w niepowołane ręce, bezpieczeństwo nie jest zagrożone. Tylko ktoś, kto zna klucz tajny klienta może odszyfrować kopię klienta klucza sesji i tylko ktoś, kto zna klucz tajny serwera, może odczytać zawaritość biletu. Klient wyodrębnia bilet i kopię klienta klucza sesji i umieszcza je w zabezpieczonej pamięci podręcznej, znajdującej się w pamięci operacyjnej, a nie na dysku. Kiedy klient chce połączyć się serwerem, wysyła komunikat zawierający bilet z wartością uwierzy- telniającą zaszyfrowane za pomocą klucza sesji. Bilet, nadal zaszyfrowany za pomocą klucza tajnego serwera i wartość uwierzytelniająca razem tworzą dane uwierzytelniające klienta dla serwera. Serwer odszyfrowuje bilet sesji za pomocą klucza tajnego, uzyskując w ten sposób klucz sesji i stosuje go do odszyfrowania wartości uwierzytelniającej klienta. Jeśli wszystko się zgadza, serwer wie, że dane uwierzytelniające klienta zostały wydane przez centrum KDC, które jest jednostką godną zaufania. Jeśli konieczne jest uwierzytelnianie wza- jemne, serwer używa swojej kopii klucza sesji do zaszyfrowania znacznika czasu (time- stamp) zawartego w wartości uwierzytelniającej klienta, a wynik przesyła z powrotem do klienta jako wartość uwierzytelniającą serwera. Czyni to w sposób zaprezentowany na rysunku 4.3. 128 Bezpiecze(cid:22)stwo w Windows 2000. Czarna ksiga Rysunek 4.3. Uwierzytelnianie wzajemne (klient-serwer) Należy zwrócić uwagę, że serwer nie musi przechowywać klucza sesji, którego używa do komunikacji z klientem. Klient jest odpowiedzialny za przechowywanie biletu dla serwera w pamięci podręcznej danych uwierzytelniających i przedstawianie biletu za każdym ra- zem, gdy chce uzyskać dostęp do serwera. Kiedy serwer nie potrzebuje już dłużej klucza sesji, może go odrzucić. Również klient nie musi zwracać się do Centrum dystrybucji kluczy za każdym razem, gdy chce uzyskać dostęp do konkretnego serwera, ponieważ bilety sesji mogą być wy- korzystane ponownie, o ile nie utraciły ważności. Okres ważności biletu zależy od za- sad protokołu Kerberos (Kerberos policy) obowiązujących w danej domenie. Zwykle bilety są ważne 8 godzin. Kiedy użytkownik wylogowuje się z komputera-klienta, pa- mięć podręczna danych uwierzytelniających jest opróżniana, a wszystkie bilety sesji i klu- cze sesji są niszczone. Zastosowanie biletu przyznajcego bilet Dla przykładu przyjmijmy, że Bonnie się loguje. Najpierw klient Kerberos, działający na stacji roboczej, zamienia swoje hasło na klucz kryptograficzny (cryptographic key), stosując jednokierunkową funkcję mieszającą Protokół Kerberos korzysta z algorytmu funkcji mieszającej DES-CBC-MD5, chociaż dopuszcza się stosowanie innych algoryt- mów. Następnie klient Kerberos żąda biletu sesji i klucza sesji, które może zastosować w kolejnych transakcjach pomiędzy klientem a Centrum dystrybucji kluczy podczas danej sesji logowania. Centrum KDC szuka w swojej bazie danych Bonnie i odczytuje z od- powiedniego rekordu bazy danych klucza długoterminowego Bonnie. Proces ten, czyli wyznaczanie kopii klucza na podstawie hasła i pobieranie kolejnej kopii klucza z bazy danych, ma miejsce tylko raz — gdy użytkownik loguje isię do sieci. Centrum dystrybucji kluczy odpowiada na żądanie klienta, zwracając specjalny rodzaj biletu sesji, który nosi nazwę biletu przyznającego bilet (Ticket Granting Ticket — TGT). Tak, jak zwykły bilet sesji, bilet przyznający bilet zawiera kopię klucza sesji, który dana usługa, w tym przypadku Centrum dystrybucji kluczy będzie stosować do komunikacji z klientem. Pakiet, który zwraca klientowi bilet przyznający bilet, zawiera także kopię klucza sesji, który klient może stosować do komunikacji z centrum (KDC). Bilet przyznający bilet jest zaszyfrowany w kluczu długoterminowym centrum (KDC), a kopia klienta klucza sesji jest zaszyfrowana w kliuczu długoterminowym użytkownika. W kolejnych wymianach komunikatów z centrum klient korzysta z klucza sesji. Klucz kryptograficzny uzyskany na podstawie hasła użytkownika nie jest potrzebny i może być odrzucony. Tak, jak inne klucze sesji, klucz ten jest tymczasowy, ważny tylko do czasu utraty ważności przez bilet przyznający bilet lub wylogowania się przez danego użytkownika. Z tego względu nazywany jest kluczem seisji logowania (logon session key). Rozdział 4.  Protokoły zabezpiecze(cid:22) 129 Klient, przed podjęciem próby połączenia z usługą, szuka w buforze danych uwierzytel- niających biletu sesji do danej usługi. Jeśli takiego biletu nie ma, klient szuka w buforze danych uwierzytelniających bilet przyznający bilet. Jeśli ten klucz zostanie znaleziony, klient pobiera z bufora właściwy klucz sesji logowania, używa go do przygotowania wartości uwierzytelniającej i wysyła wartość uwierzytelniającą oraz bilet przyznający bilet do Centrum dystrybucji kluczy razem z żądaniem biletu sesji dla tej usługi. Tak więc uzyskanie dostępu do centrum nie różni się niczym od uzyskiwania dostępu do po- zostałych usług w domenie — wymagany jest klucz sesji, wartość uwierzytelniająca i bilet, w tym przypadku jest to bilet przyznający biilet. Podstawowe wiadomolci o podprotokołach protokołu Kerberos Protokół Kerberos składa się z trzech podprotokołów: (cid:1) Authentication Service (AS) Exchange — stosowany przez Centrum dystrybucji kluczy do przydzielania klientowi klucza sesji logowania ii biletu przyznającego bilet, (cid:1) Ticket Granting Service (TGS) Exchange — stosowany przez centrum do przydzielania usłudze klucza sesji usługi (service siession key) i biletu sesji, (cid:1) Client-Server (CS) Exchange — stosowany, gdy klient przedstawia bilet sesji, aby uzyskać dostęp do usługi. Aby zrozumieć, w jaki sposób te trzy podprotokoły pracują razem, zobaczmy w jaki sposób Bonnie — użytkownik stacji roboczej uzyskuje dostęp do Clyde’a — usługi sieciowej. Podprotokół Authentication Service Exchange Wymiana informacji za pomocą podprotokołu Authentication Service Exchange prze- biega następująco: 1. Bonnie loguje się w sieci. Klient Kerberos na stacji roboczej Bonnie zamienia jej hasło na klucz szyfru i zapisuje go w buforze dianych uwierzytelniających. 2. Klient Kerberos wysyła do Centrum dystrybucji kluczy komunikat Kerberos Authentication Service Request (KRB_AS_REQ). Pierwsza część tego komunikatu identyfikuje użytkownika, Bonnie i nazwę usługi, dla kitórej żąda się danych uwierzytelniających — usługi wydającej bilety. Druga cizęść komunikatu zawiera dane do uwierzytelniania wstępnego, które potwierdzaiją, że Bonnie zna hasło. Jest to zwykle znacznik czasu zaszyfrowany za pomocią klucza długoterminowego Bonnie. 3. Centrum dystrybucji kluczy odbiera komunikat KRB_AS_REQ. 4. Centrum dystrybucji kluczy wyszukuje w swojej bazie danych użytkownika o nazwie Bonnie, odczytuje jej klucz długoterminowy, odszyfrowuje dane do uwierzytelniania wstępnego i ocenia zawarty w nich zinacznik czasu. Jeśli znacznik czasu jest do przyjęcia, Centrum dystrybucji kluczy ma pewność, że dane do uwierzytelniania wstępnego zostały zaszyfirowane za pomocą klucza długoterminowego Bonnie i że klient jest autentycznyi. 130 Bezpiecze(cid:22)stwo w Windows 2000. Czarna ksiga 5. Centrum tworzy dane uwierzytelniające, które klient iKerberos na stacji roboczej Bonnie może przedstawić usłudze wydawania biletów (Ticiket Granting Sernice — TGS): (cid:1) (cid:1) tworzy klucz sesji logowania i szyfruje jego kopię iza pomocą klucza długoterminowego Bonnie, umieszcza w bilecie przyznającym bilet jeszcze jednią kopię klucza sesji logowania razem z innymi informacjami dotyczącymi Boinnie, takimi jak jej dane uwierzytelniające, szyfruje bilet przyznający bilet za pomocą własnego iklucza długoterminowego, wysyła zaszyfrowany klucz sesji logowania i bilet przyznający bilet z powrotem do klienta w komunikacie Kerberos Authentication Service Reply (KRB_AS_REP). (cid:1) (cid:1) 6. Klient po odebraniu komunikatu korzysta z klucza, uizyskanego na podstawie hasła Bonnie, do odszyfrowania jej klucza sesji logowiania i zapisuje go w buforze danych uwierzytelniających. Następnie wyodrębinia z komunikatu bilet przyznający bilet i również zapisuje w tym buforze. Działanie podprotokołu Authentication Service Exchange ilustruje rysunek 4.4. Rysunek 4.4. Wymiana komunikatów podprotokołu Authentication Service (AS) Podprotokół Ticket Granting Service Exchange Po zakończeniu wymiany informacji przez usługę uwierzytelniania, proces wymiany komunikatów usługi wydawania biletów przebiega w naistępujący sposób: 1. Klient Kerberos na stacji roboczej Bonnie żąda danych uwierzytelniajiących dla usługi Clyde, wysyłając do Centrum dystrybucji kluczy komunikat Kerberos Ticket Granting Service Request (KRB_TGS_REQ). Komunikat ten zawiera nazwę użytkownika, wartość uwierzytelniającą zaszyfrowainą za pomocą klucza sesji logowania użytkownika, bilet przyznający bileti, uzyskany w procesie wymiany komunikatów usługi uwierzytelniania oraz naizwę usługi, dla której użytkownikowi potrzebny jest bilet. 2. Centrum (KDC) odbiera komunikat KRB_TGS_REQ i odszyfrowuje bilet przyznający bilet za pomocą własnego klucza tajnego, iodczytując klucz sesji logowania Bonnie, który jest używany do odszyfrowania wartości uwierzytelniającej. 3. Jeśli wartość uwierzytelniająca jest poprawna, to Centrum dystrybucji kluczy odczytuje z biletu przyznającego bilet dane autoryziacji Bonnie i tworzy dla klienta (Bonnie) klucz sesji, który jest współdziielony z usługą (Clyde). Rozdział 4.  Protokoły zabezpiecze(cid:22) 131 4. Centrum (KDC) szyfruje jedną kopię tego klucza sesji zia pomocą klucza sesji logowania Bonnie, umieszcza inną kopię w bilecie razeim z danymi autoryzacji Bonnie i szyfruje ten bilet za pomocą klucza długoteirminowego Clyde’a. 5. KDC wysyła te dane uwierzytelniające z powrotem do kilienta w komunikacie Kerberos Ticket Granting Service Reply (KRB_TGS_REP). 6. Kiedy klient otrzyma odpowiedź, korzysta z klucza seisji logowania Bonnie do odszyfrowania klucza sesji używanego w przypadkui danej usługi i zapisuje ten klucz w buforze danych uwierzytelniających. Następinie wyodrębnia bilet do danej usługi i także zapisuje to w buforze. Działanie podprotokołu Ticket Granting Service Exchange iilustruje rysunek 4.5. Rysunek 4.5. Komunikaty podprotokołu Ticket Granting Service Exchange Podprotokół Client-Server Exchange Po zakończeniu wymiany komunikatów usługi wydawania biletów rozpoczyna się proce- dura wymiany informacji klient-serwer (CS information exchange): 1. Klient Kerberos na stacji roboczej Bonnie żąda obsługi od Clyde’a, wyisyłając mu komunikat Kerberos Application Requests (KRB_AP_REQ). Komunikat ten zawiera wartość uwierzytelniającą zaszyfrowaną za pomoicą klucza sesji danej usługi, bilet, uzyskany podczas wymiany informacji TiGS oraz wstępnie skonfigurowany znacznik wskazujący, czy klient wymagia uwierzytelniania wzajemnego. 2. Clyde odbiera komunikat KRB_AP_REQ, odszyfrowuje bilet i odczytuje dane autoryzacji Bonnie oraz klucz sesji. 3. Clyde korzysta z klucza sesji do odszyfrowania wartiości uwierzytelniającej Bonnie i ocenia zawarty w niej znacznik czasu. 4. Jeśli wartość uwierzytelniająca jest prawidłowa, Clyde iszuka w komunikacie klienta znacznika uwierzytelniania wzajemnego. 5. Jeśli znacznik jest ustawiony, usługa korzysta z kluciza sesji do zaszyfrowania czasu zawartego w wartości uwierzytelniającej Bonnie,i a wynik zwraca w komunikacie Kerberos Application Reply (KRB_AP_REP). 6. Gdy klient Kerberos na stacji roboczej Bonnie odbiera komunikat KRB_AP_REP, odszyfrowuje wartość uwierzytelniającą Clyde’a za pomiocą klucza sesji współdzielonego z Clydem i porównuje cizas przesłany przez usługę z czasem zawartym w pierwotnej wartości uwierzytelniiającej klienta. 132 Bezpiecze(cid:22)stwo w Windows 2000. Czarna ksiga 7. Jeśli czas jest ten sam, klient wie, że jest to usługai prawidłowa i połączenie jest utrzymane. W trakcie połączenia klucz sesji może być iużyty do szyfrowania danych aplikacji lub też klient i serwer mogą w tym cielu współdzielić inny klucz. Na rysunku 4.6 przedstawiono proces wymiany komunikatiów CS. Rysunek 4.6. Wymiana komunikatów CS Uwierzytelnianie logowania Podczas logowania do sieci, w której do uwierzytelniania stosuje się protokół Kerberos, najpierw otrzymuje się bilet przyznający bilet, który przedstawia się, żądając biletów sesji dla innych usług w domenie. Podczas logowania do domeny Windows 2000 zawsze ko- nieczny jest przynajmniej jeden bilet sesji — bilet do komputera, do którego użytkownik się loguje. Komputery pracujące pod kontrolą systemu Windows 2000 mają własne konta w domenie, które należy traktować jako konta usług. Użytkownicy interaktywni mogą mieć dostęp do zasobów w domenie Windows 2000 przez wysyłanie żądania do usługi Workstation danego komputera, ale użytkownicy zdalni wysyłają żądania do usługi Se- rver tego komputera. Przed uzyskaniem dostępu do którejkolwiek z wyżej wymienio- nych usług lub jakiejkolwiek innej usługi, pracującej jako system lokalny, należy przed- stawić bilet sesji dla danego komputera. Przypuśćmy, że Bonnie ma konto sieciowe w domenie o nazwie Zachód i loguje się do komputera o nazwie Clyde, który również ma konto w domenie Zachód. Bonnie rozpoczyna od sekwencji Secure Attention Sequence (SAS) Ctrl+Alt+Delete. Usługa WinLogon na komputerze o nazwie Clyde, przełącza się na pulpit logowania i uzyskuje dostęp do biblio- teki doł
Pobierz darmowy fragment (pdf)

Gdzie kupić całą publikację:

Bezpieczeństwo w Windows 2000. Czarna księga
Autor:

Opinie na temat publikacji:


Inne popularne pozycje z tej kategorii:


Czytaj również:


Prowadzisz stronę lub blog? Wstaw link do fragmentu tej książki i współpracuj z Cyfroteką: