Warum erstellt der Systemadministrator nicht einfach ein Benutzerkonto für jeden Benutzer auf jedem Server, damit die Benutzer mit ihrem Benutzernamen und Kennwort auf die Ressourcen zugreifen können, auf die sie zugreifen möchten?

Stellen Sie sich vor, Sie haben 50 Benutzer und 50 Server. Nehmen wir der Einfachheit halber an, dass alle 50 Benutzer Zugriff auf alle 50 Server haben sollen, alle auf allen Servern die gleichen Berechtigungen haben und wir diese Berechtigungen niemals ändern müssen. Dies sind insgesamt 2.500 Kennworteinträge, die erstellt werden müssen.

Hinzufügen eines neuen Benutzers

Wenn Sie einen neuen Benutzer hinzufügen, muss der Administrator gehen zu allen 50 Servern und fügen Sie diesen einen Benutzer zu allen hinzu. Dazu müsste der Administrator den Befehl create user auf allen 50 Servern ausführen. Dieses Bit kann automatisiert werden, aber der Teil, der nicht sicher automatisiert werden kann, besteht darin, dass der Benutzer sein Kennwort 50 Mal einmal pro Server eingeben muss.

Warum dieses letztere Problem? Da Kennwortauthentifizierungssysteme so konzipiert sind, dass sie keine Kopie des Kennworts behalten, nicht einmal eine verschlüsselte Kopie. Wenn der Benutzer sein neues Kennwort auf Server 1 eingibt, vergisst dieser das Kennwort sofort, sodass er es für Server 2 und 3 usw. erneut eingeben muss.

Hinzufügen eines neuen Servers

Vielleicht denken Sie jetzt, Sie könnten ein Skript schreiben, das:

1. auf Server X ausgeführt wird;
2. Fordert den neuen Benutzer auf, sein neues Kennwort einzugeben.
3. Fragt den Administrator nach seinem Kennwort.
4. Meldet sich bei den Servern Nr. 1 bis Nr. 50 an und erstellt das Benutzerkonto auf jeder von ihnen mit dem gleichen Passwort.
ol>

Das ist ein bisschen zwielichtig, aber selbst wenn Sie es versuchen, haben Sie immer noch ein anderes, größeres Problem. Angenommen, Ihr Unternehmen kauft einen neuen Server und wir benötigen jetzt unsere 50 Benutzer, um Zugriff auf diesen Server zu haben. Da keiner der Server eine Kopie der Benutzerkennwörter enthält, müsste der Administrator zu jedem Benutzer gehen und ihn ein Kennwort für sein Konto auf dem neuen Server eingeben lassen. Und es führt kein Weg daran vorbei, es sei denn, Sie haben Kopien der Benutzerkennwörter aufbewahrt - was wiederum eine unsichere Praxis ist.

Zentralisierte Kennwortdatenbank

Um diese Probleme zu lösen, muss Ihre Benutzer- / Kennwortdatenbank wirklich an einem Ort zentralisiert sein und alle Server müssen diese Datenbank konsultieren, um Benutzernamen und Kennwörter zu authentifizieren. Dies ist wirklich das absolute Minimum, das Sie für eine verwaltbare Multiuser / Multiserver-Umgebung benötigen. Jetzt:

1. Wenn Sie einen neuen Benutzer hinzufügen, übernehmen alle Server ihn automatisch aus der zentralen Datenbank.
2. Wenn Sie einen neuen Server hinzufügen, werden automatisch alle Benutzer abgerufen die Benutzer aus der zentralen Datenbank.
ol>

Hierfür gibt es eine Vielzahl von Mechanismen, auch wenn sie immer noch nicht das bieten, was Kerberos bietet.

Kerberos

Sobald Sie über eine solche zentralisierte Datenbank verfügen, ist es sinnvoll, diese mit mehr Funktionen zu erweitern, sowohl zur Vereinfachung der Verwaltung als auch zur Vereinfachung. Kerberos fügt die Möglichkeit hinzu, dass sich ein Dienst, wenn sich ein Benutzer erfolgreich bei einem Dienst angemeldet hat, an die Tatsache "erinnert" und anderen Diensten "beweisen" kann, dass sich dieser Benutzer erfolgreich angemeldet hat. Diese anderen Dienste, denen ein solcher Nachweis vorgelegt wird, lassen den Benutzer ein, ohne ihn nach einem Kennwort zu fragen.

Dies bietet eine Mischung aus Komfort und Sicherheit:

1. Benutzer ziehen nicht an Sie werden nicht immer wieder nach ihrem Passwort gefragt, wenn sie es an diesem Tag bereits einmal erfolgreich eingegeben haben.
2. Wenn Sie Programmierer haben, die Programme schreiben, die auf mehrere Server zugreifen, und diese Server eine Authentifizierung erfordern, können sich die Programme jetzt bei diesen Servern authentifizieren, ohne ein Kennwort angeben zu müssen, indem sie die Anmeldeinformationen des Serverkontos wiederverwenden, unter dem sie ausgeführt werden.
ol>

Letzteres ist wichtig, da es eine unsichere, aber allzu häufige Praxis minimiert oder beseitigt: automatisierte Programme, bei denen Sie Kopien von Benutzernamen und Kennwörtern in Konfigurationsdateien ablegen müssen. Auch hier ist eine Schlüsselidee der sicheren Kennwortverwaltung, keine Kopien von Kennwörtern zu speichern, auch keine verschlüsselten Kopien .

Einfach ausgedrückt, das wäre ein administrativer Albtraum.

Mit Kerberos können Administratoren beliebig viele Mitarbeiter dieselben Anmeldeinformationen verwenden, um sich in Ressourcen in ihrer gesamten Domäne anzumelden.

Nehmen wir an, dass dies in einem einfachen Netzwerk nicht vorhanden war.

1. Der Benutzer gibt ein Kennwort ein, um seinen Computer zu entsperren.
2. Der Benutzer möchte a zuordnen Netzlaufwerk. Sie müssen jetzt ihr Passwort erneut eingeben.
3. Der Benutzer möchte dann eine E-Mail erhalten. Sie öffnen Outlook und müssen dann ein weiteres Kennwort eingeben.
4. Der Benutzer muss sich dann im Intranet des Unternehmens anmelden. Das ist ein anderes Passwort.
ol>

Sie haben die Idee. Wenn Kerberos nicht verwendet wird, muss der Benutzer Kennwörter für alle Server verwalten, auf denen Dienste gehostet werden, auf die er zugreifen muss. Dies würde sowohl Benutzern als auch Administratoren Kopfschmerzen bereiten. Die meisten Unternehmensrichtlinien besagen, dass Benutzer ihr Kennwort alle X Tage ändern müssen. Können Sie sich vorstellen, ein Endbenutzer zu sein und Ihr Kennwort jedes Mal auf 5 Servern ändern zu müssen, wenn Sie dies tun müssen?

Aus Sicherheitsgründen erhält der Administrator alle Anmeldeversuche (sowohl erfolgreich als auch fehlgeschlagen) Ein einzelner Ort, anstatt auf 5 verschiedenen Servern angemeldet zu sein. Dies hilft bei der Behebung von Anmeldeproblemen (z. B. Sperren) und erleichtert die Überwachung von Protokollen erheblich.

Kerberos ist nicht als Annehmlichkeit da, sondern eine erweiterte Sicherheitsmaßnahme. Bequemlichkeit ist ein sekundärer Vorteil.

Eine gute Erklärung ist Entwerfen eines Authentifizierungssystems: Ein Dialog in vier Szenen

Grundsätzlich, anstatt nur einen magischen Token zu übergeben Um (dh Ihr Passwort) erhalten Sie ein "Ticket", das von einer vertrauenswürdigen Quelle der Wahrheit (z. B. Kerberos KDC, Microsoft AD usw.) signiert ist. Ihr Ticket teilt den Diensten mit, wer wer ist und zu welchen Berechtigungsgruppen Sie gehören. Stellen Sie sich vor, Sie kaufen eine Eintrittskarte für einen Vergnügungspark oder geben einem Begleiter bei jeder Fahrt in einem Park Geld.

Um eine seitliche Eskalation zu verhindern .

Die administrative Komplexität der Kennwortverwaltung kann durch Verwendung einer zentralen Kennwortdatenbank wie LDAP verringert werden. Dies birgt jedoch das Risiko einer seitlichen Eskalation. Wenn ein Angreifer die Kontrolle über einen Server übernimmt, kann er still bleiben und Kennwörter abhören. Diese Kennwörter können dann verwendet werden, um andere Server zu gefährden - seitliche Eskalation.

Kerberos versucht, dies zu lösen: Benutzer senden ihr Kennwort nicht an jeden Server. Sie senden es nur an den Authentifizierungsserver und legen anderen Servern ein Ticket vor. In jüngster Zeit wurden einige Fehler festgestellt, die von Tools wie Mimikatz ausgenutzt werden. Zumindest Kerberos soll jedoch eine seitliche Eskalation verhindern. LDAP unternimmt nichts, um dies zu verhindern.

Der Hauptvorteil von Kerberos besteht darin, dass Kontoänderungen und Kennwortänderungen sofort synchronisiert werden können.

Ich habe Lösungen für die zentrale Verwaltung verteilter Konten und clientseitige Kennwortagenten zur Verfügung, die auf 99% reagieren Nach der Anmeldung werden Sie aufgefordert, das Kennwort zu ändern. Wir gehen jedoch davon aus, dass das Ändern des Kennworts durch den Benutzer selten ist und dass wir bis zum nächtlichen Stapeljob warten können, bis die Kennwortänderung tatsächlich wirksam wird. Gleiches gilt in den meisten Fällen für Berechtigungsänderungen. Wenn wir eine Berechtigungsänderung benötigen, um jetzt wirksam zu werden, können die kleineren Tools dies nicht.

Kerberos listet in seinen Fähigkeiten die Fähigkeit auf, Verbindungen sicher zu authentifizieren, ohne sie zu verschlüsseln. Dies erweist sich in der Praxis als weniger wünschenswert, und auf diese Fähigkeit sollte man sich nicht verlassen. Der Diebstahl von Kerberos-Tickets war die Essenz eines Angriffs auf SMB vor einem Jahr, der den gesamten Zugriff als Benutzer ermöglichte, vorausgesetzt, der Benutzer verwendete irgendwo eine Netzwerkfreigabe.