1 / 44

Kerberos udomowiony

Kerberos udomowiony. TOMASZ ONYSZKO. Konsultant | Microsoft Start. Kontakt. Blog: http://www.w2k.pl E-mail: t.onyszko@w2k.pl. ( cc ) Josh Mishell. Kerberos. Protokół uwierzytelnienia Stworzony przez MIT ( RFC 4120 ) Silne uwierzytelnienie oparte na współdzielonym „kluczu”

alesia
Télécharger la présentation

Kerberos udomowiony

An Image/Link below is provided (as is) to download presentation Download Policy: Content on the Website is provided to you AS IS for your information and personal use and may not be sold / licensed / shared on other websites without getting consent from its author. Content is provided to you AS IS for your information and personal use only. Download presentation by click this link. While downloading, if for some reason you are not able to download a presentation, the publisher may have deleted the file from their server. During download, if you can't get a presentation, the file might be deleted by the publisher.

E N D

Presentation Transcript

  1. Kerberos udomowiony TOMASZ ONYSZKO Konsultant | Microsoft Start

  2. Kontakt • Blog: http://www.w2k.pl • E-mail: t.onyszko@w2k.pl

  3. (cc) Josh Mishell

  4. Kerberos • Protokół uwierzytelnienia • Stworzony przez MIT (RFC 4120) • Silne uwierzytelnienie oparte na współdzielonym „kluczu” • Cross platform • Pozwala na realizacje scenariuszy SSO

  5. Kerberos a Windows … • Zaimplementowany od Windows 2000 • Każdy kontroler domeny to „Serwer” – Key Distribution Center (KDC) • Udostępniony w systemie dla aplikacji przez Security Support Provider Interface (SSPI) • Domyślny SSP dla Windows

  6. SSPI (GSSAPI) RPC .NET Framework Internet Explorer SSPI Negotiated Kerberos NTLM Digest …

  7. (cc) Rob Watling

  8. Aktorzy Klient KDC Authentication Service (AS) TicketGranting Service (TGS) Usługa Wymaga uwierzytelnienia Kerberos

  9. #1 - Uwierzytelnienie KRB_AS_REQ KRB_AS_REP TGT == TicketGrantingTicket

  10. Ticket Kerberosticket - RFC 1510 (version 5) Realm Nazwa serwera \ usługi Klucz sesji Flagi Nazwa klienta Realm klienta Czas wygaśnięcia Dane autoryzacji (PAC) (…)

  11. PrivilegeAttributeCertificate • Informacja autoryzacyjna • PAC zawiera: • SID użytkownika • SID grup użytkownika (cross forest) • Tworzony w chwili wystawienia TGT • Duży PAC • KRB5KRB_ERR_RESPONSE_TOO_BIG • MaxTokenSize (KB 327825)

  12. #2 – Dostęp do usługi http://www.w2k.pl KRB_TGS_REQ KRB_TGS_REP TGS == TicketGranting Service

  13. #2 – Dostęp do usługi http://www.w2k.pl KRB_AP_REQ Skąd KDC wiedział do której usługi chce się dostać użytkownik i którego użyć klucza??

  14. Service Principal Name • Używane do zlokalizowania kont usługi • Format: <przedrostek usługi>/<nazwa>[:port] • Przechowywane w katalogu • Atrybut servicePrincipalName • Domyślnie dostępny dla Domain Admin • Zdefiniowana delegacja w Windows 2008 R2

  15. (cc) Now picnic

  16. #3 – Delegacja (S4U2Proxy) http://www.w2k.pl KRB_AP_REQ KRB_TGS_REQ KRB_CRED KRB_TGS_REP

  17. Wymagania • Aby delegacja zadziałała • Poprawne rozwiązywanie nazw DNS • Konto usługi oznaczone jako „Trusted for delegation” • Poprawna konfiguracja SPN dla wszystkich kont biorących udział w delegacji • Konfiguracja przeglądarki !!! • + opcje specyficzne dla aplikacji

  18. Konfiguracja SPN #1 CN=WWW$: http/www.w2k.pl http/www CN=SQL$: MSSQLSvc/SQL.W2K.PL MSSQLSvc/SQL

  19. Konfiguracja SPN #2 CN=WWW1$: http/www.w2k.pl http/www CN=WWW2$: http/www.w2k.pl http/www CN=SQL$: MSSQLSvc/SQL.W2K.PL MSSQLSvc/SQL

  20. Konfiguracja SPN #2 CN=AppPoolAccount http/www.w2k.pl http/www CN=SQL$: MSSQLSvc/SQL.W2K.PL MSSQLSvc/SQL

  21. (cc) Now picnic

  22. (cc) r00pert

  23. Internet Explorer 6 • Żądanie dostępu do SPN bez numeru portu (KB 908209) • Użycie CNAME przy dostępie do usługi (KB 908209)

  24. KDC_ERR_PREAUTH_REQUIRED • Przyczyna • Żądanie nie zawiera danych pre-authentication • Problem • Występuje gdy żądanie nie jest ponawiane poprawnie • Możliwe błędy uwierzytelnienia

  25. KDC_ERR_PREAUTH_REQUIRED • Rowiązanie • Poprawna konfiguracja klienta • Wyłączenie wymagania pre-authentication dla konta • Narzędzia • Network monitor

  26. KRB_ERR_RESPONSE_TOO_BIG • Przyczyna • PAC jest zbyt duży dla transportu UDP • Problem • Występuje gdy nie jest możliwe przełączenie się na transport TCP • Możliwe błędy uwierzytelnienia

  27. KRB_ERR_RESPONSE_TOO_BIG • Rozwiązanie • Zmiana transportu na TCP (KB 244474) • Zmniejszenie PAC (KB 327825) • Narzędzia: • Network monitor • TokenSz.exe

  28. KDC_ERR_ETYPE_NOTSUPP • Przyczyna • Niekompatybilność protokołów szyfrowania pomiędzy klientem a KDC • Wprowadzenie AES w Vista \ Windows 2008 (RFC 3962) • Problem • Brak możliwości uzyskania biletów

  29. KDC_ERR_ETYPE_NOTSUPP • Rozwiązanie • Konfiguracja zgodnych protokołów klient <-> KDC • ms-DS-Supported-Encryption-Types • Narzędzia • Event Viewer (EventID: 27, KDC) • REGEDIT.EXE (pre-Win7) • Group Policy (Win7) • Network Monitor

  30. KDC_ERR_S_PRINCIPAL_UNKNOWN • Przyczyna • Brak lub duplikaty SPN dla kont usług • Problem • Nie działające mechanizmy uwierzytelnienia Kerberos • Brak dostępu do usług

  31. KDC_ERR_S_PRINCIPAL_UNKNOWN • Rozwiązanie • Poprawna konfiguracja SPN • Narzędzia • Setspn.exe (preferowane z Windows 2008 R2) • Dowolny klient LDP (LDP.EXE, ADFIND.EXE) • Event Viewer (EventID:11, KDC) • Network Monitor

  32. (cc) Now picnic

  33. Rozwiązywanie problemów • Network monitor prawdę Ci powie • Setspn.exe lub dowolny klient LDAP pozwoli zdiagnozować problemy z SPN • Klient pełni kluczową rolę w komunikacji związanej z Kerberos

  34. Rozwiązywanie problemów (…) If there is a problem … it’s about SPNs If not … it’s about SPNs (…) Master Matjaz

  35. (cc) bitzcelt

  36. Dlaczego Kerberos • Bezpieczny protokół uwierzytelnienia • Interoperacyjność • SSO • Redukcja NTLM • Windows 7 \ Windows 2008 R2

  37. NTLM

  38. (cc) massdistraction

  39. Oceń moją sesję • Ankieta dostępnana stronie www.mts2009.pl • Wygraj wejściówki na następny MTS!

  40. Referencje • How the Kerberos Version 5 Authentication Protocol Works • S4U2proxy- http://msdn.microsoft.com/en-us/library/cc246079(PROT.10).aspx • Kerberos Protocol Extensions: Service for User and Constrained Delegation Protocol Specification • DelegConfig • Internet Explorer and SPNs • IE does not include port number in SPN • http://support.microsoft.com/kb/908209 • IE builds SPN based on A record not alias • http://support.microsoft.com/kb/911149

  41. Referencje • Kerberos Technical Supplement for Windows • How to troubleshoot Kerberos-related issues in IIS • Troubleshooting Kerberos Errors • Troubleshooting Kerberos Delegation • NMCap: the easy way to Automate Capturing

More Related