Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

36 Kapitel 2: Authentifizierung und Authentifizierungsprotokolle
Übrigens bedeutet NTLMv2-Sitzungssicherheit, dass Sitzungsschlüssel auf sicherere Weise
berechnet werden. Mit diesen Sitzungsschlüsseln arbeiten Anwendungen, wenn sie Sitzungssicherheit
anfordern, sobald die Verbindung hergestellt ist. Mit Authentifizierungsprotokollen
hat dies nur insoweit zu tun, als sie mit derselben Einstellung verwaltet werden.
Kerberos
Kerberos wird in Domänenumgebungen benutzt, wenn Hostnamen (inklusive vollqualifizierter
Domänennamen) verwendet werden, um eine Verbindung herzustellen. Das ist gewöhnlich
der Fall, sofern der Benutzer nicht explizit eine Verbindung zu einer IP-Adresse
anfordert. Wie die NTLM-Familie implementiert Windows Kerberos als SSP (Security Support
Provider), und Kerberos verwendet ebenfalls den NT-Hash für die Authentifizierung,
aber hier enden die Ähnlichkeiten mit den anderen Protokollen.
Kerberos bietet Authentifizierung sowohl für den Benutzer, der eine Verbindung herstellen
will, als auch zwischen dem Client und dem Server. Das ist ein großer Unterschied zu
NTLM, das dem Benutzer keinerlei Garantie bietet, dass der Server tatsächlich der Computer
ist, mit dem er kommunizieren will. Kerberos ist auch mit den expliziten Annahmen
entworfen worden, dass das Netzwerk eine feindselige Umgebung ist, dass irgendein Angreifer
versucht, Verkehr abzuhören, und dass der Angreifer die Fähigkeit hat, den Verkehr,
der über das Netzwerk gesendet wird, zu lesen, zu ändern oder zu löschen.
Abbildung 2.12 Dieser Austausch findet statt, wenn ein Computer startet und eine Datei von einem
Dateiserver anfordert