Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

Authentifizierungsprotokolle 29
Falls Kennwörter allerdings auf anderen Computern gültig sind, ist es möglich, dass ein Angreifer mithilfe
von Kennworthashwerten weiter vordringen kann. Und weil Kennworthashwerte im Arbeitsspeicher zwischengespeichert
werden, könnte ein Angreifer in der Lage sein, administrative Anmeldeinformationen für
eine Domäne auf einem Mitgliedcomputer auszuspähen, falls sich ein Domänenadministrator dort angemeldet
hat. Das ist in erster Linie aber ein Verfahrensproblem. Sie müssen für Ihr Netzwerk entsprechende
Regeln festlegen; wenn Sie den Empfehlungen in Kapitel 12 folgen, können Sie sich gegen diese Gefahr
ausreichend schützen.
Authentifizierungsprotokolle
Bisher haben wir uns angesehen, wie Kennwörter in Windows gespeichert werden. Möglicherweise
noch wichtiger ist, wie sie benutzt werden. Kennwörter sind Authentifizierer,
das heißt, sie werden verwendet, um einen Benutzer bei einem Computer zu authentifizieren.
Falls der Benutzer sich interaktiv an einem lokalen Konto anmeldet, ist der Ablauf recht
simpel:
1. Der Benutzer betätigt die SAS (Secure Attention Sequence, auch als »Drei-Finger-
Salut«, »Geierkralle« oder schlicht STRG+ALT+ENTF bekannt), um das Anmeldedialogfeld
zu öffnen. Daraufhin startet das LSASS (Local Security Authority Sub-System)
eine neue Sitzung und lädt WinLogon in dieser Sitzung. WinLogon wiederum lädt die
LogonUI, die Benutzeroberfläche für die Anmeldung.
2. Der Benutzer gibt den Benutzernamen und das Kennwort ein.
3. Der WinLogon-Prozess nimmt das Kennwort, generiert daraus einen NT-Hash, sucht
den Benutzernamen in der lokalen SAM und vergleicht den NT-Hash mit dem Wert,
der für den Benutzer gespeichert ist. Falls die beiden Hashwerte übereinstimmen, ist
die Anmeldung erfolgreich.
4. Falls Subauthentifizierungspakete auf dem Computer installiert sind, werden die Anmeldeinformationen
zur weiteren Verarbeitung an diese Pakete übergeben. Andernfalls wird
user32.exe aufgerufen und die Umgebung des Benutzers geladen.
Dieser Vorgang ist relativ überschaubar, weil es einen sicheren Kanal gibt, der von der LogonUI,
in der ein Benutzer seine Anmeldeinformationen im Klartext eingibt, bis zum Vergleich
der Anmeldeinformationen reicht. Wenn allerdings eine Authentifizierung über das
Netzwerk durchgeführt werden muss, wird es ein wenig komplizierter, weil in diesem Fall
wichtig ist, wie die Authentifizierungsansprüche zwischen dem Client, an dem der Benutzer
arbeitet, und dem authentifizierenden Server übertragen werden, der die Kontendatenbank
hostet. In Windows kann dieser Vorgang viele Formen annehmen, die ich in den folgenden
Abschnitten beschreibe.
Standardauthentifizierung
Standardauthentifizierung (engl. basic authentication) ist die einfachste Form der Authentifizierung.
Sie überträgt die unveränderten Anmeldeinformationen über das Netzwerk. Anders
ausgedrückt: Benutzername und Kennwort werden entweder als Klartext durch das Netzwerk
gesendet oder in einer Form, die diese Daten intakt lässt, zum Beispiel Base-64-kodiert.
In manchen Implementierungen wird dies als PAP (Password Authentication Protocol)
bezeichnet. Standardauthentifizierung ist in älteren Netzwerkprotokollen wie zum Beispiel
Telnet, FTP, POP, IMAP und sogar HTTP recht verbreitet. Auch heutzutage wird es noch
manchmal verwendet, zum Beispiel im RPC/HTTPS-Connector-Mechanismus, mit dem ein