Службы безопасности

Система безопасности Windows XP позволяет реализовать все новые подходы к проверке подлинности пользователя и защи­ты данных. В ее состав входит:

• полное интегрирование с активным каталогом Win­dows ХР для обеспечения масштабируемого управления учетными записями в больших доменах с гибким контролем доступа и распределением административных полномочий;

• протокол проверки подлинности Kerberos версии 5 — стандарт безопасности для Internet, реализуемый как основной протокол проверки подлинности входа в сеть;

• проверка подлинности с применением сертификатов, основанных на открытых ключах:

• безопасные сетевые каналы, базирующиеся на стандарте SSL;

• файловая система с шифрованием.

Распределенные службы безопасности Windows XP сохраня­ют сведения об учетных записях в активном каталоге. Достоинст­ва активного каталога:

• Учетные записи пользователей и групп можно распределить по контейнерам — подразделениям (Organization Unit, OU). Домен в рамках иерархического пространства имен может содержать любое количество подразделений. Это позволяет организациям добиться согласования между используемыми в сети именами и структурой предприятия.

• Активный каталог поддерживает гораздо большее количество объектов и с более высокой производительностью, чем реестр. Дерево объединенных доменов Windows NT способно поддерживать существенно более сложные организационные структуры.

• Администрирование учетных записей улучшено благодаря новым графическим средствам управления активным каталогом, а также обращающихся к СОМ- объектам активного каталога сценариям.

• Службы тиражирования каталога поддерживают множественные копии учетных записей. Теперь обновление информации можно выполнить для любой копии учетной записи (не требуется разделения контроллеров домена на главный и резервные). Протокол Light-weight Directory Access Protocol (LDAP) и службы тиражирования обеспечивают механизмы для связи каталога Windows ХР с другими основанными на Х.500 и LDAP каталогами на предприятии.

Для того чтобы обеспечить совместимость с существующи­ми клиентами, предоставить более эффективные механизмы безопасности и сделать возможным взаимодействие в гетерогенных сетях, в Windows NT поддерживается несколько протоколов безо­пасности. Архитектура Windows NT не устанавливает ограничений на применение тех или иных протоколов безопасности.

Windows XP будет поддерживать:

• протокол проверки подлинности Windows NT LAN Manager (NTLM), используемый в Windows XP и в предыдущих версиях Windows NT;

• протокол проверки подлинности Kerberos версии 5, заменяющий NTLM в роли основного протокола для сетевого доступа к ресурсам доменов Windows XP;

• протокол распределенной проверки подлинности паролей (Distributed Password Authentication, DPA); благодаря DPA пользователь, получивший один пароль при регистрации, может подсоединяться к любому узлу Интернета, обслуживаемому данной организацией;

• протоколы, основанные на открытых ключах и применяемые в основном для связи между программами просмотра и Web-серверами. Стандартом de facto здесь стал протокол Secure Sockets Layer (SSL).

Для единообразного обращения к различным протоколам разработан новый интерфейс прикладного программирования Win32 — интерфейс поставщиков поддержки безопасности (Secu­rity Support Provider Interface, SSPI). SSPI позволяет изолировать проверку подлинности пользователя, которая может осуществ­ляться по разным протоколам, — от применяющих ее служб и приложений. Интерфейс SSPI представляет собой несколько на­боров доступных прикладным программам процедур, выполняющих:

• управление мандатами (Credential Management) работу с информацией о клиенте (пароль, билет);

• управление контекстом (Context Management) — создание контекста безопасности клиента;

• поддержку передачи сообщений (Message Support) — проверку целостности переданной информации (работает в рамках контекста безопасности клиента);

• управление пакетами (Package Management) — выбор протокола безопасности.

Протокол проверки подлинности Kcrberos определяет взаи­модействие между клиентами и службой проверки подлинности Центром распределения ключей (Key Distribution Center, KDC). Домен Windows ХР эквивалентен царству Kerberos (Kerberos realm), но будет в этой операционной системе по-прежнему назы­ваться доменом. Реализация Kerberos в Windows XP основана на документе RFC1510. По сравнению с NTLM у протокола провер­ки подлинности Kerberos имеются следующие преимущества:

• более быстрое подсоединение клиента к серверу; поскольку сервер для проверки подлинности пользователя не должен связываться с контроллером домена, улучшение масштабируемости компьютерной сети;

• транзитивные доверительные отношения между доменами упрощают администрирование сложной сети.

В Windows XP появилось средство защиты информации — файловая система с шифрованием (Encrypted File System, EPS), позволяющая хранить файлы и папки в зашифрованном виде. Благодаря этому корпоративные и индивидуальные пользователи решат проблему возможной утечки секретной информации при краже переносного компьютера или жесткого диска из сервера. Зашифрованная информация даже в случае физического доступа к жесткому диску останется недоступной.