Перерахуємо нові функції безпеки Windows NT.
• Інформація про доменні правила безпеки і облікова інформація зберігаються в каталозі Active Directory. Служба каталогів Active Directory забезпечує тиражування і доступність облікової інформації на багатьох контроллерах домена, а також дозволяє видалене адміністрування.
• У Active Directory підтримується ієрархічний простір імен користувачів, груп і облікових записів машин. Облікові записи можуть бути згруповані по організаційних одиницях (що істотно відрізняється від плоскої структури імен в попередніх версіях Windows NT).
• Адміністративні права на створення і управління групами облікових записів користувачів можуть бути делеговані на рівень організаційних одиниць. При цьому встановлюються диференційовані права доступу до окремих властивостей призначених для користувача об'єктів. Наприклад, група користувачів може змінювати параметри пароля, але не має доступу до іншої облікової інформації.
• Тиражування Active Directory дозволяє змінювати облікову інформацію на будь-якому контроллері домена, а не тільки на первинному. Численні копії Active Directory, що зберігаються на інших (в попередніх версіях, резервних) контроллерах домена, оновлюються і синхронізуються автоматично.
• Доменна модель змінена і використовує Active Directory для підтримки багаторівневого дерева доменів. Управління довірчими відносинами між доменами спрощене за рахунок транзитивності в межах всього дерева доменів.
• У систему безпеки включені нові механізми аутентификації, такі як Kerberos v5 і TLS (Transport Layer Security), що базуються на стандартах безпеки Інтернету,
• Протоколи захищених каналів (SSL 3.0/TLS) забезпечують підтримку надійної аутентификація клієнта. Вона досягається шляхом зіставлення мандатів користувачів в формі сертифікатів відкритих ключів з існуючими обліковими записами Windows NT. Для управління обліковою інформацією і контролю за доступом застосовуються одні і ті ж засоби адміністрування, незалежно від того, чи використовується захист з відкритим ключем або із загальним секретом.
• Додатково до реєстрації за допомогою введення пароля може підтримуватися аутентификація з використанням смарт-карт. Останні забезпечують шифрування і надійне зберігання закритих ключів і сертифікатів, що особливо важливо для надійної аутентификація при вході в домен з робочої станції.
• До складу нової версії входить Microsoft Certificate Server.
Цей сервер призначений для організацій і дозволяє видавати співробітникам і партнерам сертифікати Х.509 версії 3. В CryptoAPI включені інтерфейси і модулі управління сертифікатами відкритих ключів, включаючи видані комерційним ВУС (Уповноваженим сертифікації), стороннім ВУС або Microsoft Certificate Server. Системні адміністратори можуть вказувати, сертифікати яких уповноважених є довіреними в системі і, таким чином, контролювати аутентификація доступу до ресурсів.
• Зовнішні користувачі, що не мають облікових записів Windows NT, можуть бути аутентифіковані за допомогою сертифікатів відкритих ключів і співвіднесені з існуючим обліковим записом. Права доступу, призначені для цього облікового запису, визначають права зовнішніх користувачів на доступ до ресурсів.
• У розпорядженні користувачів засоби управління парами закритих (відкритих) ключів і сертифікатами, що використовуються для доступу до ресурсів Інтернету.
• Технологія шифрування вбудована в операційну систему і дозволяє використати цифрові підписи для ідентифікації потоків.
У Windows NT 5.0 вбудований сервер сертифікатів Certificate Server, який може видавати сертифікати в стандартних форматах (Х.509 версій 1 і 3), а також додавати розширення по мірі потреби.
Протокол аутентификації Kerberos
Протокол аутентификації Kerberos визначає взаємодію між клієнтом і мережевим сервісом аутентификації, відомим як KDC (Key Distribution Center). У Windows NT KDC використовується як сервіс аутентификація на всіх контроллерах домена. Домен Windows NT еквівалентний області Kerberos, але до неї звертаються як до домену. Реалізація протоколу Kerberos в Windows NT заснована на визначенні Kerberos в RFC1510, Клієнт Kerberos реалізований у вигляді ПФБ (постачальника функцій безпеки) Windows NT, заснованому на SSPI. Початкова аутентификація Kerberos інтегрована з процедурою WinLogon. Сервер Kerberos (KDC) інтегрований з існуючими службами безпеки Windows NT, що виконуються на контроллері домена. Для зберігання інформації про користувачів і групи він використовує службу каталогів Active Directory.
Протокол Kerberos посилює існуючі функції безпеки Windows NT і додає нові. Розглянемо останні детальніше.
• Підвищена швидкість аутентификації при встановленні початкового з'єднання. Сервер додатків не повинен звертатися до контроллера домена для аутентификація клієнта. Така конфігурація підвищує масштабованість серверів додатків при обробці запитів на підключення від великого числа клієнтів.
• Делегування аутентификації в багатоярусній архітектурі клієнт-сервер. При підключенні клієнта до сервера, останньому імперсонує (втілює) клієнта в цій системі. Але якщо серверу для завершення транзакції треба виконати мережеве підключення до іншого сервера, протокол Kerberos дозволяє делегувати аутентификації першого сервера і підключитися до другого від імені клієнта. При цьому другий сервер також виконує імперсонацію клієнта.
• Транзитивні довірчі відносини для міждоменної аутентификації. Користувач може бути аутентифікований в будь-якому місці дерева доменів, оскільки сервіси аутентификації (KDC) в кожному домені довіряють квиткам, виданим іншими KDC в дереві. Транзитивне довір'я спрощує управління доменами у великих мережах з декількома доменами.
Аутентификація NTLM
Перед тим, як розглянути процес аутентификації Kerberos, пригадаємо механізм, діючий в попередніх версіях Windows NT.
Отже, після того, як користувач вводить своє ім'я і пароль, система аутентифікує його шляхом передачі параметрів, заданих у ввідному діалоговому вікні, менеджеру захисту облікових записів SAM (Security Account Manager). SAM порівнює ім'я користувача і зашифрований пароль з тими, що зберігаються в базі користувачів домена або, при локальній реєстрації, робочій станції. Якщо ім'я і пароль співпадають, сервер повідомляє робочу станцію про підтвердження доступу. Крім того, сервер завантажує і таку інформацію про користувача, як привілей облікового запису, положення домашнього каталога і т. п. Якщо для користувача визначений сценарій реєстрації, цей сценарій також завантажується на робочу станцію для виконання.
Якщо користувач має обліковий запис і привілеї доступу в систему, а введений ним пароль вірний, підсистема захисту створює об'єкт маркер доступу, що представляє користувача. Він порівняємо з ключем, що містить «посвідчення особи» користувача. Маркер доступу зберігає таку інформацію, як ідентифікатор захисту SID (Security ID), ім'я користувача і імена груп, до яких він належить.
Завантажити реферат