यह कुछ ऐसा है जिसे मैं वास्तव में कभी भी उत्तर देने में सक्षम नहीं हूं जैसा कि मुझे पसंद है: NTLM के बजाय IIS में Kerberos प्रमाणीकरण का उपयोग करने का वास्तविक लाभ क्या है?
मैंने बहुत से लोगों को इसे स्थापित करने के लिए वास्तव में संघर्ष करते देखा है (स्वयं शामिल) और मैं इसका उपयोग करने के लिए एक अच्छे कारण के साथ नहीं आ पाया हूं। हालांकि कुछ बहुत महत्वपूर्ण फायदे होने चाहिए, अन्यथा यह इसे स्थापित करने के लिए सभी परेशानियों के लायक नहीं होगा, है ना?
जवाबों:
केवल Windows के दृष्टिकोण से:
MaxConcurrentAPI, AuthPersistSingleRequest(गलत) ।, तेजी से डीसी) ( स्व प्रासंगिक बोनस ।)lmcompatibilitylevel) के लिए अतिसंवेदनशील हैएक प्रॉक्सी को पार करने में सक्षम हो सकता है, लेकिन ऊपर डीसी बिंदु देखें: आपको अभी भी एक सक्रिय डीसी के समान नेटवर्क पर होना चाहिए, जैसा कि सर्वर करता है ।
टिकट लंबे समय तक जीवित है (10h) जिसका अर्थ है कि टिकट जीवनकाल के दौरान कम डीसी संचार - और जोर देने के लिए: इससे उस जीवनकाल में प्रति ग्राहक हजारों से लाखों अनुरोधों को बचाया जा सकता है - ( यह अभी भी एक चीज है; करबरोस पीएसी सत्यापन एक चीज हुआ करता था)AuthPersistNonNTLM
UserAIIS का उपयोग करने की अनुमति देने के लिए, और जब IIS SQL सर्वर तक पहुँचता है तो उसी उपयोगकर्ता खाते का उपयोग करें, यह "प्रमाणीकरण का प्रतिनिधिमंडल" है।KRB_ERR_AP_MODIFIED)जब तक हम उस पर हैं:
LogonTypeइसे पूरा करने के लिए कॉन्फ़िगर करने की आवश्यकता हो सकती है (2000 और 2003 के बीच डिफ़ॉल्ट को नेटवर्क क्लीयरटेक्ट में बदल दें, लेकिन गलतफहमी हो सकती है)सारांश में:
अंकुश लगाने के लिए मुश्किल हो सकता है, लेकिन वहाँ गाइड ( मेरे एक ) का भार है जो प्रक्रिया को सरल बनाने की कोशिश करते हैं, और उपकरण 2003 से 2008 तक बड़े पैमाने पर सुधार हुए हैं ( SetSPNडुप्लिकेट की खोज कर सकते हैं, जो सबसे आम तोड़ने वाला मुद्दा है , का उपयोगSETSPN -S करने के लिए मार्गदर्शन कभी भी देखें, और जीवन खुश हो जाएगा)।
विवश प्रतिनिधिमंडल प्रवेश की लागत के लायक है।
एक और तरीका यह होगा कि प्रमाणीकरण को negotiateदूसरे के बजाय एक के बजाय प्रमाणीकरण और उपयोग में लाया जाए।
से माइक्रोसॉफ्ट आवेदन सत्यापनकर्ता है, जो आम डेवलपर गलतियों का पता लगाता है। उन गलतियों में से एक NTLM का उपयोग है :
एनटीएलएम खामियों के साथ एक पुराना प्रमाणीकरण प्रोटोकॉल है जो संभावित रूप से अनुप्रयोगों और ऑपरेटिंग सिस्टम की सुरक्षा से समझौता करता है। सबसे महत्वपूर्ण कमी सर्वर प्रमाणीकरण की कमी है, जो एक हमलावर को उपयोगकर्ताओं को एक स्पूफ सर्वर से कनेक्ट करने की अनुमति दे सकती है। अनुपलब्ध सर्वर प्रमाणीकरण के एक कोरोलरी के रूप में, एनटीएलएम का उपयोग करने वाले एप्लिकेशन एक प्रकार के हमले के लिए "प्रतिबिंब" हमले के रूप में भी असुरक्षित हो सकते हैं। यह उत्तरार्द्ध एक हमलावर को किसी वैध सर्वर पर उपयोगकर्ता की प्रमाणीकरण बातचीत को हाईजैक करने की अनुमति देता है और इसका उपयोग उपयोगकर्ता के कंप्यूटर पर हमलावर को प्रमाणित करने के लिए करता है। एनटीएलएम की कमजोरियां और उनका शोषण करने के तरीके सुरक्षा समुदाय में अनुसंधान गतिविधि को बढ़ाने का लक्ष्य हैं।
हालाँकि केर्बरोस कई वर्षों से उपलब्ध है लेकिन अभी भी कई एप्लिकेशन केवल NTLM का उपयोग करने के लिए लिखे गए हैं। यह अनावश्यक रूप से अनुप्रयोगों की सुरक्षा को कम करता है। हालांकि केर्बोस NTLM को सभी परिदृश्यों में प्रतिस्थापित नहीं कर सकता है - मुख्यतः वे जहां एक क्लाइंट को उन प्रणालियों को प्रमाणित करने की आवश्यकता होती है जो एक डोमेन में शामिल नहीं होते हैं (एक होम नेटवर्क शायद इनमें से सबसे आम है)। निगोशिएट सिक्योरिटी पैकेज एक बैकवर्ड-कम्पेटिबल कॉम्प्रोमाइज़ की अनुमति देता है जो जब भी संभव हो, केर्बेरोस का उपयोग करता है और केवल NTLM के लिए कोई अन्य विकल्प न होने पर पलट देता है। NTLM के बजाय Negotiate का उपयोग करने के लिए कोड स्विच करना कुछ या कोई एप्लिकेशन संगतता शुरू करते समय हमारे ग्राहकों के लिए सुरक्षा को काफी बढ़ा देगा। अपने आप में बातचीत एक चांदी की गोली नहीं है - ऐसे मामले हैं जहां एक हमलावर NTLM को अपग्रेड करने के लिए मजबूर कर सकता है लेकिन ये शोषण करने के लिए काफी अधिक कठिन हैं। हालांकि, एक तत्काल सुधार यह है कि नेगोशिएट का सही ढंग से उपयोग करने के लिए लिखे गए एप्लिकेशन एनटीएलएम प्रतिबिंब हमलों के लिए स्वचालित रूप से प्रतिरक्षा हैं।
NTLM के उपयोग के खिलाफ सावधानी के अंतिम शब्द के माध्यम से: विंडोज के भविष्य के संस्करणों में ऑपरेटिंग सिस्टम पर NTLM के उपयोग को अक्षम करना संभव होगा। यदि अनुप्रयोगों का NTLM पर एक कठिन निर्भरता है, तो वे केवल NTLM अक्षम होने पर प्रमाणित करने में विफल रहेंगे।
आपको एक बहुत ही महत्वपूर्ण बिंदु जोड़ना चाहिए:
केर्बोस 20 वर्षों में यूनिक्स में मानक और खुला प्रोटोकॉल रहा है, जबकि एनटीएलएम माइक्रोसॉफ्ट से शुद्ध रूप से मालिकाना समाधान है और केवल माइक्रोसॉफ्ट के लिए जाना जाता है।
यदि आपको उन संसाधनों तक पहुंचने के लिए उपयोगकर्ता को लगाने की आवश्यकता है जो आईरिस सर्वर पर नहीं हैं, तो केबरोस की आवश्यकता होती है।