Überblick

Das Kerberos-Protokoll ist ein Authentifizierungsprotokoll für Client/Server-Anwendungen. Zur Authentifizierung werden den Clients Tickets vom Kerberos Key Distribution Center (KDC) ausgehändigt. Das Kerberos-Ticket wird den Servern nach dem Verbindungsaufbau vorgelegt. Kerberos-Authentifizierungstickets repräsentieren die Netzwerkanmeldeinformationen des Clients.

Windows Challenge/Response (NTLM) ist das Authentifizierungsprotokoll, das in Netzwerken verwendet wird, zu denen Systeme gehören, auf denen das Windows-Betriebssystem ausgeführt wird, sowie auf eigenständigen Systemen.

Windows-Authentifizierung verwendet je nach Client- und Serverkonfiguration entweder das Kerberos-Authentifizierungsprotokoll oder das NTLM-Authentifizierungsprotokoll.

NTLM-Authentifizierungsprotokoll:


• Das NEGOTIATE_MESSAGE definiert eine NTLM-Negotiate-Nachricht, die vom Client an den Server gesendet wird. Mit dieser Nachricht kann der Client dem Server seine unterstützten NTLM-Optionen angeben.
• Das CHALLENGE_MESSAGE definiert eine NTLM-Herausforderungsnachricht, die vom Server an den Client gesendet wird und vom Server verwendet wird, um den Client zum Nachweis seiner Identität aufzufordern.
• Das AUTHENTICATE_MESSAGE Definiert eine NTLM-Authentifizierungsnachricht, die vom Client an den Server gesendet wird, nachdem CHALLENGE_MESSAGE vom Client verarbeitet wurde.

KERBEROS-AUTHENTIFIZIERUNGSPROTOKOLL:


• Nachricht A: Client-/TGS-Sitzungsschlüssel, verschlüsselt mit dem geheimen Schlüssel des Clients/Benutzers.
• Nachricht B: Ticket-Granting-Ticket verschlüsselt mit dem geheimen Schlüssel des TGS.
• Nachricht C: Bestehend aus dem TGT von Nachricht B und der ID des angeforderten Dienstes.
• Nachricht D: Mit dem Client/TGS-Sitzungsschlüssel verschlüsselter Authentifikator.
• Nachricht E: Client-zu-Server-Ticket, verschlüsselt mit dem geheimen Schlüssel des Dienstes.
• Nachricht F: Client/Server-Sitzungsschlüssel, verschlüsselt mit dem Client/TGS-Sitzungsschlüssel.
• Nachricht G: ein neuer Authentifikator, der die Client-ID und den Zeitstempel enthält und mit dem Client/Server-Sitzungsschlüssel verschlüsselt ist.
• Nachricht H: Der im Authentifikator des Clients gefundene Zeitstempel, verschlüsselt mit dem Client/Server-Sitzungsschlüssel.