Călătoriți pe bilete cu kerberos de rachete, vă rog ... kerberos ce este

Bilete, te rog ...

Kerberos Ce este asta?

Active Directory folosește Kerberos atunci când poate

Acesta diferă de LM / NTLM / NTLMv2, se bazează pe RFC 1510 și alte standarde

Are propriul glosar de termeni: Clientul, service, pre-autentificatorului, autentificatorului, acreditări, cheie de sesiune, bilete, Bilet de acordare a tichetelor, Serviciu de vânzare bilete, Centrul de cheie de distribuție, Authentication Service, Serviciu de vânzare bilete Acordarea

Kerberos O vedere din spațiu

Simplificate, acestea sunt servicii care rulează pe un controler de domeniu

Înțelege două lucruri ("Principalii"): utilizatorii și serviciile (cum ar fi serviciile de fișiere de pe server)

Când un utilizator dorește să primească un serviciu, solicită un bilet pentru acest serviciu

Apoi, utilizatorul prezintă biletul la serviciu atunci când dorește să îl folosească

Kerberos Heads

Kerberos are trei capete

• Clienți sau "Principalii utilizatori": conturi de utilizator; fiecare are propria sa parolă și numele - "UPN"
• Servicii sau "directori de servicii": ceva pe care dorim să-l accesăm; acesta poate fi doar un server sau serviciul său separat (fișiere / imprimare, SQL, Exchange); fiecare serviciu are propriul nume - "SPN" și parola
• Centrul de distribuire cheie (KDC) - un controler de domeniu, un server care cunoaște toate parolele utilizatorilor și serviciilor. Are parola proprie, cunoscută numai de sine (contul "krbtgt") și alte controlere din domeniu.

Kerberos în imagini Faceți cunoștință cu capul ...

Kerberos în imagini Pentru a realiza acest ...

Kerberos Două tipuri de bilete, două servicii

La început, ne prezentăm la KDC prin intrarea în sistem; pentru a vă conecta o singură dată, solicităm KDC să furnizeze un "bilet către KDC" ... și acesta este un Ticket Granting Ticket

Acesta este furnizat de o parte a KDC, numită "Serviciul de autentificare" sau AS

După primirea TGT, putem să o prezentăm la KDC și să spunem: "Îți amintești de mine? Acum am nevoie de un bilet de serviciu la un astfel de serviciu ... "

Biletul de serviciu este emis de o altă parte a KDC, denumită "Serviciul de acordare a biletelor" sau TGS

Cum se potrivește aceasta în DC?

Centrul de distribuire cheie = Serviciul de autentificare + Serviciul de acordare a biletelor

KDC = AS + TGS

KDC, AS, TGS sunt doar o parte din rolurile pe care le efectuează controlorul

Cu toate acestea, nu putem vedea AS, TGS și alte servicii în Managerul de activități; acestea sunt efectuate în cadrul procesului LSASS

De ce două tipuri de bilete?

Biletul de primire a biletelor, precum și biletul de servicii ne autentifică la serviciu

Dar, de obicei, toate se termină cu doar un TGT și o mulțime de ST

Motivul pentru care aveți două tipuri de bilete: Kerberos protejează fiecare bilet prin criptarea unor date cu o parolă sau o cheie

Kerberos Principalele motive pentru care Kerberos este mai bun

Multe bilete înseamnă o mulțime de criptare a informațiilor cu parola noastră - aceasta înseamnă că atacatorul va avea o mulțime de date pentru a calcula parola

Deci - și acesta este un punct foarte important - ceea ce oferă Kerberos în TGT, de fapt, este o "parolă pentru zi"

Informațiile referitoare la biletul Serviciu sunt criptate cu această parolă de zi; numai informațiile legate de TGT sunt criptate folosind parola dvs. - o tranzacție pe zi!

Kerberos în imagini În primul rând, Tom are nevoie de un Ticket Granting Ticket

Apropo de Vista și mai sus

Dacă te uiți la traficul din rețea, când Vista încearcă să se conecteze, vom vedea că cererea TGT nu reușește întotdeauna pentru prima dată.

Vista trimite în mod deliberat un pachet „rău“ pentru a determina posibilitatea de a utiliza AES în loc de RC4-HMAC - returnează un „KDC_ERR_PREAUTH_REQUIRED“ eroare conține o listă de posibile algoritmi

Tom a apăsat Ctrl + Alt + Del, și-a introdus numele și parola și a primit un TGT

Dar încă nu intra în calculatorul lui

Are nevoie de acces la stația sa de lucru

El o va primi folosind biletul de service

Deci, acesta este următorul lucru pe care trebuie să îl solicite de la Serviciul de acordare a biletelor

Kerberos în imagini În continuare, Tom primește biletul de service

Tom intra în stația lui de lucru

El a primit un TGT, pe care îl folosește pentru a solicita Biletul de Serviciu de la Serviciul de acordare a biletelor

El a primit biletul de serviciu la postul său de lucru

Aceste "bilete", de fapt, doar date în memoria computerului TOMSPC

Tom le poate vedea folosind kerbtray sau klist inclus în Resource Kit

Outputul utilitarului klist

C: \> klist bilete

Bilete cached: (2)

Server: krbtgt/[email protected]

Tip de criptare KerbTicket: RSADSI RC4-HMAC (NT)

Server: host/[email protected]

Tip de criptare KerbTicket: RSADSI RC4-HMAC (NT)

Pe serverul de imprimare ...

În același mod, Tom poate obține un bilet la serviciul de tipărire pe PS (în klist acesta este afișat ca cifs / ps.stanky.ru ...)

El îl face pe TGS TGT

Controlorul verifică TGT și emite un bilet de service Tom care îl identifică pe PS

Acum, Tom are trei bilete

Tom și biletele lui

Sună bine, dar este sigur? E timpul să intrăm în detalii

Toate astea sună bine ... Dar cum putem să o protejăm?

De ce un atacator nu poate intercepta bilete care să spună "Salut PS serviciu, eu sunt Tom"?

Cheia este bună ... Cheile sunt următoarea parte a baletului nostru Marleison

Identificare sigură

Vrem să ne putem identifica reciproc printr-o rețea nesigură; putem face acest lucru dacă:

• Să acceptăm algoritmul de criptare
• Să acceptăm cheia secretă
• Să convenim asupra datelor pentru comunicare

Kerberos și AD ...

Suntem de acord:

• Algoritm de criptare: RC4-HMAC
• Cheie secretă obișnuită: permitem KDC să creeze o cheie arbitrară pe 128 de biți și să o transmită doar nouă
• Datele de recunoaștere: un bloc de date, numit "autentificator"

Cheile comune sunt la fel de utile ...

Odată ce ați obținut o cheie partajată pe care nimeni altcineva nu o cunoaște, clientul și serverul pot efectua alte activități în afară de autentificare, cum ar fi:

• Semnarea SMB
• Secure securizate (criptate)
• Schimb de taste IPsec pentru AH sau ESP (semnare sau criptare)
• Orice altă formă de semnare sau de criptare

O altă cerință pentru chei

Ar fi minunat dacă cheia pe care o folosim nu era aceeași, de fiecare dată

În schimb, dacă este necesar, vorbiți, ar fi mai bine dacă am convenit într-un fel asupra unei chei care ar fi fost în vigoare doar câteva ore și nu am fi reușit niciodată să o folosim - cheia pentru sesiune

O astfel de cheie este numită o cheie de sesiune ("Key Session")

Scopul Kerberos Cum se obține cheia fără interceptarea sa?

Am convenit asupra conținutului autentificatorului, pe care îl criptăm folosind un algoritm convenit

Tot ce avem nevoie este:

• Un server care generează chei de sesiune arbitrare care sunt utilizate doar câteva ore
• Metoda care vă permite să transferați aceste chei către mine și fără interceptare

Cheile emiterii - Partea I: Cheia sesiunii în biletul de acordare a biletelor

Amintiți-vă biletele - primul TGT, apoi biletul de service? Luați în considerare o parte din chei

Când Tom cere TGT din AS, el, de fapt. cere două lucruri:

• TGT, pe care îl face TGS atunci când are nevoie de un bilet de serviciu și
• Știință specială "doar pentru ziua de azi", cunoscută numai de Tom și KDC

AS creează o cheie de sesiune

Tom primește TGT și cheia de sesiune

Ce am realizat?

În primul rând, au primit o cheie de sesiune comună ("pentru ziua de azi") între KDC și Tom

În al doilea rând, avem o structură de date (TGT), care poate fi decriptată doar de KDC

Deoarece numai KDC-ul poate crea un TGT, și TGT conține o „dată cheie“ Tom-KDC, Tom poate prezenta un TGT ori de câte ori dorește să le reamintească KDC-ul, care le-au comunicat deja

Și pentru KDC, nu este nevoie să ne amintim că Tom a fost deja autentificat astăzi

Cheile emiterii - Partea a II-a: Obținerea biletului de serviciu pe stația de lucru

Apoi, ne amintim că Tom are nevoie de un bilet de serviciu pe stația sa de lucru, așa că prezintă TGT pe serviciul de acordare a biletelor

Dar cum poate TGS să se asigure că cineva nu a interceptat TGT-ul lui Tom și la trimis la TGS?

Acest lucru este realizat utilizând un Authenticator ("Authenticator") - o structură de date care conține, printre altele, o ștampilă de timp criptată cu tasta Tom-KDC

Solicitări de volum ST

TGS verifică cererea lui Tom

TGS creează ST pentru TOMSPC

Tom obține o cheie nouă

Volumul este autentificat la TOMSPC

Tom a intrat în sistem

La fel ca AS și TGS, serviciul Workstation pe TOMSPC deschide un bilet, deoarece este criptat cu o parolă personală TOMSPC

TOMSPC găsește în cadrul tastei TPC-Tom, care utilizează pentru a deschide autentificatorul

Apoi, TOMSPC verifică ștampila de timp, vede că este OK

Un alt punct despre bilete - amintiți-vă autentificatorul? El dovedește serviciului că utilizatorul, de fapt, cine pretinde că este

În Kerberos, putem solicita opțional serviciului să ne trimită ștampila de timp, criptată cu cheia sesiunii - este autentificare reciprocă ("Autentificare mutuală")

Aceste chei sunt furnizate utilizatorilor sub formă de bilete

Utilizatorii demonstrează că aceștia sunt deținătorii legitimi ai biletelor, utilizând autentificatori

Kerberos funcționează numai în AD; Sistemele moderne utilizează în continuare LM, NTLM sau NTLMv2 pentru autentificare

Materiale suplimentare

Cum funcționează protocolul de autentificare Kerberos V5

Blogul echipei Adresați-vă serviciilor de director

IIS și Kerberos de Ken Schaefer

Sper că acest lucru a fost util și interesant.

[email protected]

Gradinita Gobow Child Support Centre №1492
Te rog, nu-l certa pe copil pentru ceea ce este în înțelegerea ta o greșeală, dar în loc de laudă pentru noroc! Conversații cu alții.

Turismul este o călătorie modernă. Turismul este o călătorie modernă.
Călătoria este un cuvânt vechi, capabil, invocator. Dicționarul lui V. I. Dal o definește drept "rătăcire, rătăcire, mers pe jos sau călărie.

Știți că aveți dreptul la deducerea taxelor? Ce este asta?
În casetă a fost lăsată o notă care a citit: "Vă rugăm să aveți grijă de mine!". Poliția a adresat radioului o propunere.

Alegeți una dintre opțiuni: Alegeți una dintre opțiuni
Gestionarea înregistrărilor de personal și administrarea beneficiilor sunt adesea externalizate către un furnizor terț

"Călătorește prin provincia Astrahan." cartă
Diploma, acest lucru confirmă că spionul Galina Vladimirovna este trimis în secolul 21 pentru o lecție în clasa a VIII-a, pentru a merge împreună cu copiii.

Trimiteți-le prietenilor: