Active Directory.pdf - Gattner

Kerberos-Authentifizierung
Kerberos-Sicherheit 279
Die Kerberos-Authentifizierung beginnt, wenn der Kerberos-Sicherheitsanbieter durch die lokale
Sicherheitsautorität auf einer Windows Vista-Arbeitsstation oder einem Windows Server 2008-Computer
aufgerufen wird. Wenn ein Benutzer sich durch Eingabe eines Benutzernamens und Kennworts
anmeldet, wendet der Clientcomputer einen einseitigen Hash auf das Benutzerkennwort an, um einen
geheimen Schlüssel zu erzeugen. Dieser wird anschließend in einem sicheren Speicherbereich auf der
Arbeitsstation zwischengespeichert. Bei Verwendung eines einseitigen Hashwerts kann das Kennwort
nicht aus dem Hash abgeleitet werden. Der Hashwert ist außerdem konsistent – wenn ein Hash
auf dasselbe Kennwort angewendet wird, ist das Ergebnis immer gleich.
Hinweis Dieser Vorgang gilt auch für Computer unter Windows 2000 Professional oder höheren Clientbetriebssystemen,
sowie für Windows 2000 Server oder höhere Serverbetriebssysteme.
Zur Durchführung einer Clientanmeldung werden auf den Client- und Serversystemen die folgenden
Schritte ausgeführt:
1. Der Kerberos-SSP auf der Arbeitsstation sendet eine Authentifizierungsmeldung an das Schlüsselverteilungscenter.
(Siehe Abbildung 8.1.) Die Meldung hat folgenden Inhalt:
Benutzername
Benutzerbereich (Domänenname)
Anforderung für ein TGT
Vorauthentifizierungsdaten, z.B. einen Zeitstempel und mögliche weitere Daten
Die Vorauthentifizierungsdaten werden mithilfe des geheimen Schlüssels verschlüsselt, der aus
dem Benutzerkennwort abgeleitet wurde.
2. Sobald die Meldung beim Schlüsselverteilungscenter eintrifft, untersucht der Server den Benutzernamen
und prüft die Verzeichnisdatenbank auf seine Kopie des geheimen Schlüssels, der mit
dem Benutzerkonto verknüpft ist. Der Server entschlüsselt die verschlüsselten Daten in der Meldung
mit dem geheimen Schlüssel und prüft den Zeitstempel. Wenn die Entschlüsselung erfolgreich
durchgeführt und der Zeitstempel innerhalb von fünf Minuten zur aktuellen Serverzeit
registriert wurde, bereitet der Server die Authentifizierung des Benutzers vor. Schlägt die Entschlüsselung
fehl, muss der Benutzer das falsche Kennwort eingegeben haben, und die Authentifizierung
ist nicht erfolgreich. Wenn der Zeitstempel mehr als fünf Minuten von der aktuellen
Serverzeit liegt, schlägt die Authentifizierung ebenfalls fehl. Das kurze Zeitfenster soll verhindern,
dass jemand die Authentifizierungspakete sammelt und sie zu einem späteren Zeitpunkt wieder
abspielt. Der standardmäßige maximal zulässige Zeitunterschied von fünf Minuten kann in den
Domänensicherheitsrichtlinien konfiguriert werden.
3. Nach der Authentifizierung des Benutzers sendet der Server eine Nachricht an den Client, die
einen TGS-Sitzungsschlüssel (Ticket Granting Service, Ticketerteilungsdienst) und ein TGT enthält.
(Siehe Abbildung 8.1.) Bei dem Sitzungsschlüssel handelt es sich um einen Verschlüsselungsschlüssel,
der zur Interaktion mit dem Schlüsselverteilungscenter (KDC) eingesetzt wird,
anstatt den geheimen Schlüssel des Clients zu verwenden. Das TGT erteilt dem Benutzer Zugriff
auf den TGS. Für die Lebensdauer des TGT zeigt der Client dem TGS das TGT vor, wann immer
der Client auf Ressourcen im Netzwerk zugreifen muss.