Active Directory.pdf - Gattner

276 Kapitel 8: Active Directory-Domänendienstsicherheit
Kerberos-Sicherheit
Bisher wurden die Grundlagen der AD DS-Sicherheit besprochen, ohne auf den tatsächlichen Mechanismus
einzugehen, der die Sicherheit implementiert. Der primäre Mechanismus zur Bereitstellung
der Authentifizierung in den AD DS ist das Kerberos-Protokoll. Dieses Protokoll wurde in den späten
80er Jahren am Massachusetts Institute of Technology (MIT) entwickelt. Die aktuelle Version von
Kerberos ist Version 5 (Kerberos 5), beschrieben in RFC 1510, „The Kerberos Network Authentication
Service (V5)“. Die Windows Server 2008-Implementierung von Kerberos ist vollständig kompatibel
mit RFC-1510 und weist einige Erweiterungen für die Authentifizierung mit öffentlichen Schlüsseln
auf.
Kerberos ist das standardmäßige Authentifizierungsprotokoll für Windows 2000 und Windows Server
2003 Active Directory sowie für Windows Server 2008 AD DS. Wann immer ein Windows 2000-
Client (oder ein Client mit einer höheren Windows-Version) sich gegenüber Active Directory oder
den AD DS authentifiziert, versucht der Client Kerberos zu verwenden. Das zweite Protokoll, das zur
Authentifizierung gegenüber den AD DS verwendet werden kann, ist NTLM. Dieses Protokoll wird
jedoch hauptsächlich zur Bereitstellung von Abwärtskompatibilität mit älteren Clients verwendet.
Kerberos hat gegenüber NTLM zahlreiche Vorteile:
• Gegenseitige Authentifizierung Mit NTLM erfolgt die Authentifizierung einseitig, d.h. der Server
authentifiziert den Client. Bei Verwendung von Kerberos kann der Client auch den Server authentifizieren.
Auf diese Weise wird sichergestellt, dass der auf die Anforderung antwortende Server
der richtige Server ist.
• Effizienterer Zugriff auf Ressourcen Wenn ein Benutzer versucht, auf eine Netzwerkressource in
einem NTLM-basierten Netzwerk (z.B. Microsoft Windows NT 4) zuzugreifen, muss der Server,
auf dem sich die Ressource befindet, einen Domänencontroller kontaktieren, um die Zugriffsberechtigungen
des Benutzers zu überprüfen. In einem Kerberos-basierten Netzwerk stellt der
Client eine Verbindung zum Domänencontroller her und ruft ein Dienstticket zur Verbindungsherstellung
mit dem Ressourcenserver ab. Dies bedeutet, dass der Ressourcenserver keine Verbindung
zum Domänencontroller herstellen muss.
• Verbesserte Verwaltung von Vertrauensstellungen NTLM-Vertrauensstellungen sind stets unidirektional,
nicht transitiv und werden manuell konfiguriert. Kerberos-Vertrauensstellungen sind transitiv,
bidirektional und werden automatisch konfiguriert und zwischen allen Domänen in einer
Gesamtstruktur verwaltet. Zusätzlich können Kerberos-Vertrauensstellungen zwischen Gesamtstrukturen
und zwischen Windows Server 2008-Kerberos-Domänen und anderen Kerberos-Implementierungen
konfiguriert werden.
• Delegierte Authentifizierung Wenn ein Client unter Verwendung der NTLM-Authentifizierung eine
Verbindung mit einem Server herstellt, kann der Server die Clientanmeldeinformationen nur für
den Zugriff auf Ressourcen des lokalen Servers verwenden. Mit der Kerberos-Authentifizierung
kann der Server die Clientanmeldeinformationen für den Zugriff auf die Ressourcen eines anderen
Servers nutzen.
Hinweis Windows Server 2008 unterstützt darüber hinaus auch die Authentifizierung über SSL/TLS
(Secure Sockets Layer/Transport Layer Security), die Digest- und die Passport-Authentifizierung. Da diese
Authentifizierungsdienste jedoch hauptsächlich in einer Internetumgebung für die Authentifizierung gegenüber
Microsoft IIS 7.0 (Internet Information Services, Internetinformationsdienste) zum Einsatz kommen,
werden diese Authentifizierungsoptionen hier nicht besprochen.