7. 2.3 Особенности реализации протокола Kerberos в Windows 2000

Версия Kerberos 5 заменила протокол Microsoft NT LAN Manager (NTLM) в роли основного метода сетевой аутентификации для Windows 2000. (NTLM остается в составе системы для совместимости с предыдущими версиями.) Microsoft отмечает ряд преимуществ Kerberos по сравнению с NTLM, включая более высокую эффективность аутентификации при доступе к серверам, поддержку взаимной аутентификации, упрощенное управление доверительными отношениями и совместимость.

Microsoft приняла решение дополнить этот открытый стандарт своими собственными доработками [14].

Необязательное поле данных (custom data field) в Kerberos версии 5, называемое полем данных авторизации. Microsoft помещает в него сертификат привилегированного доступа (Privilege Access Certificate, PAC). В результате Kerberos в системе Windows 2000 дополнительно наделяется возможностями авторизации: он сможет управлять полномочиями пользователей в соответствии с их принадлежностью к тем или иным группам Windows.

Остановимся подробнее над необходимостью, возникшей перед Microsoft в добавлении данного поля.

На платформах Microsoft используются контроллеры доменов. Контроллер домена осуществляет централизованное управление учетными записями пользователей, компьютерами и группами. В Windows 2000 контроллер домена также выполняет функции сервера каталогов и центра распределения ключей Kerberos и контролирует применяемую в домене политику в отношении групп.

Вопрос в кросс-платформенной совместимости данного протокола, которая позволила бы например, клиенту Microsoft получить доступ к ресурсам узла Unix, с установленными на обоих узлах реализациями Kerberos, до сих пор скрывает трудности и подводные камни. Но специалисты компании Microsoft, утверждают о совместимости уже на сегодняшний день.

Несмотря на PAC, режим обычной аутентификации между Kerberos для UNIX и Kerberos для Windows 2000 по-прежнему действует. Если прикладной сервис получит билет с этими данными авторизации и не будет знать, как с ними поступить, он просто проигнорирует их. Поэтому не нужно ничего изменять. Остальная часть билета по-прежнему останется в силе, как и любой другой билет».

7. 2.4 Условия использования протокола Kerberos

1. ПО каждой из служб, защищаемых с помощью Kerberos. должно быть модифицировано; для этого нужно иметь в распоряжении исходный код приложения;

2. Должна быть обеспечена физическая безопасность сервера Kerberos, так как на нем хранится база данных, содержащая пароли для всех пользователей области;

3. За пределами США и Канады требуется использовать другой заменяемый модуль шифрования, так как стандартный алгоритм шифрования DES запрещен для экспорта без официального разрешения;

4. Должно быть предусмотрено наличие синхронизированного времени в целой системе, так как рабочие станции должны иметь средство синхронизации времени.

5. Kerberos должен поддерживать запись для каждого пользователя и каждого прикладного сервера, входящих в одну область. Такая запись содержит следующие компоненты:

• идентификатор принципала;

• секретный ключ, соответствующий этому принципалу;

• дату истечения срока действия секретного ключа;

• дату последнего изменения записи;

• идентификатор принципала, последним изменившего запись;

• максимальное время жизни билетов, выдаваемых принципалу;

• внутреннюю служебную информацию.

Поле секретного ключа зашифровано с помощью главного ключа базы данных, поэтому похищение файла базы данных не позволит злоумышленнику получить пароли, поскольку главный ключ не содержится в базе, а хранится отдельно от нее.

Объект, отвечающий за управление этой базой данных, называется диспетчером базы данных Kerberos KDBM (Kerberos Database Manager). В области может существовать только один диспетчер базы данных Kerberos, однако можно использовать несколько серверов распространения ключей Kerberos KKDS (Kerberos Key Distribution Server), каждый из которых поддерживает копию базы данных Kerberos.