Активные директории

Степан Ильин aka Step

Хакер, номер #074, стр. 074-018-6

Netdiag (www.microsoft.com/windows2000/techinfo/reskit/tools/existing/netdiag-o.asp). Представленная утилита также относится к типу диагностирующих и является своеобразным тестером сетевых соединений. Netdiag собирает всю доступную информацию о сетевых компонентах, проверяет драйверы и производительность сети. В процессе своей работы она может выявить проблемы, а в ряде случаев даже локализовать их. Утилита не имеет каких-либо ключей, поэтому использовать ее крайне просто. Запусти ее и изучай результат.

Предохраняйся!

Совместно с технологией Active Directory, как правило, применяют распределенную модель защиты, основанную на протоколе авторизации Kerberos. Благодаря этой системе, разработанной в Массачусетском технологическом институте, стало возможным производить аутентификацию пользователя даже по открытым сетям, не боясь за сохранность конфиденциальных данных. Kerberos уже успел зарекомендовать себя в ряде *nix-систем и теперь фактически стал стандартом среди протоколов для проверки подлинности пользователя в сети.

Общая идея работы протоколы такова: если клиенту необходимо подключиться к какому-либо защищенному ресурсу, то он посылает соответствующий запрос на сервер. Такой запрос содержит всю необходимую для идентификации информацию, которая идет в зашифрованном виде. Сервер проверяет полномочия клиента и в зависимости от результата отсылает либо сообщение об ошибке, либо специальный дополнительный временный ключ, опять же, в закодированном виде. Последний, естественно, передается не забавы ради: в дальнейшем с его помощью будет шифроваться вся передаваемая информация. А учитывая тот факт, что время жизни ключа ограничено, то им криптуются и все последующие временные ключи, регулярно создаваемые и передаваемые сервером.

Регулярная смена ключей шифрования значительно повышает безопасность канала. Тем более что, помимо всего прочего, Kerberos осуществляет еще взаимную проверку подлинности (клиент идентифицирует сервер, сервер идентифицирует клиента).

Кстати, лица, которые не имеют разрешения Kerberos, вполне могут залогиниться в сеть, но только при выполнении некоторых условий. В частности, каждый гость должен иметь сертификат типа X.509 v3 Public Key Certificates, выдаваемый специально уполномоченным лицом локалки. Таким образом, пользователь отличной от Windows NT операционной системы может получить доступ к необходимым ресурсам наравне с имеющим разрешение Kerberos.

Ложка дегтя, правда, все же есть. Таить не буду, время от времени в Kerberos находят уязвимости. Пускай нечасто, но каждый год соответствующие сообщения появляются в лентах баг-трака. И дело здесь даже не в алгоритмах шифрования – они надежны как швейцарские часы. Чаще всего это DoS-атаки, деактивирующие использование протокола Kerberos. Чуть реже встречаются ошибки повторного освобождения памяти (Double Free Flaw).