Autentizace

Autentizace je mechanismus, který ověřuje identitu uživatele (a nejen uživatele, ale i třeba počítače nebo služby). Měl by tedy potvrdit, že jsme osoba, za kterou se vydáváme. Většinou se používá znalost jména a hesla, v lepším případě se používá certifikát či biometrie. Jako jednofaktorová se označuje autentizace, kdy potřebujeme pouze něco vědět, tedy zadáváme heslo. Dvoufaktorová (případně vícefaktorová) je pak autentizace za pomoci čipové karty (certifikátu) a PINu, musíme něco mít a něco znát.

Bezpečnostní model LDAPu

V LDAP v3 (RFC 2251) je specifikováno, že pro bezpečnostní služby je možno použít SASL mechanismus. SASL znamená Simple Authentication and Security Layer a byl původně definován v RFC 2222 a nově v RFC 4422. V LDAP stromě v kořenovém záznamu rootDSE jsou v atributu supportedSASLMechanisms vyjmenovány podporované SASL bezpečnostní metody daného adresáře.

SASL

SASL je metoda pro přidání podpory pro autentizaci do protokolů na bázi připojení. SASL odděluje autentizační mechanismus od aplikačních protokolů, takže teoreticky aplikace, která podporuje SASL může použít libovolný autentizační mechanismus. SASL vyjednává o tom, který mechanismus je nejlepší použít (a který je možno použít). Jednotlivé mechanismy jsou pojmenovány řetězcem s max. 20 znaky a používají velká písmena, čísla a pomlčku s podtržítkem. SASL se často používá v kombinaci s TLS (Transport Layer Security).

Pozn.: Jednotlivé mechanismy jsou definovány v různých RFC.

SASL mechanismy, které podporuje Active Directory:

• PLAIN - autentizace s jednoduchým heslem v čistém textu
• ANONYMOUS - neautentizovaný přístup, nezasílají se žádné autentizační informace
• NTLM - NT LAN Manager, používá se na samostatných systémech nebo pro zpětnou kompatibilitu. Používá šifrované heslo spolu s doménou a jménem. Jedná se o Microsoftí protokol, částečně zpětně kompatibilní s LANMAN a objevil se spolu s SMB protokolem. Dnes je NTLMv2 a upřednostňován je Kerberos, ale NTLM se stále používá v některých případech.
• DIGEST-MD5 - tento mechanizmus umožňuje autentizaci pomocí hesla, ale po síti se posílá pouze hash hesla. Je podobný jako CRAM-MD5, ale navíc zajišťuje integritu a důvěrnost spojení.
• GSSAPI - Generic Security Services Application Program Interface, RFC 2078, poskytuje možnost autentizovat se pomocí Kerberos v5 session, také poskytuje mechanizmy pro zaručení integrity a důvěrnosti spojení. Nejedná se o autentizační metodu, ale o mechanismus, který vybere nejvhodnější metodu a předává autentizační informace této metodě (službě). Poskytuje všeobecné bezpečnostní služby, které mohou být podporovány řadou podřazených mechanismů a služeb. Podporuje využití SSO (single sign on), pak se nevyplní credentials.

Pozn.: Anonymní přístup, tedy bez zadání hesla, je v AD defaultně zakázaný.

Další SASL mechanismy jsou třeba OTP (one-time password), SKEY, EXTERNAL, CRAM-MD5, SRP, GSS-SPNEGO, SECURID.

Active Directory používá ještě několik proprietálních mechanizmů pro autentizaci:

• SSPI - Security Support Provider Interface - kvůli zpětné kompatibilitě, dnes se nedoporučuje používat, jednalo se o obdobu GSS-API.
• DPA - Distributed Password Authentication - používá se v Microsoft Commercial Internet Systém, zašifrované heslo.

Pozn.: Bezpečnostní model LDAPu neobsahuje mechanismus pro řízení přístupu, ale AD používá ACL (access control lists) na adresářové objekty.

Kerberos V5 (Kerberos Network Authentication Service (V5)) je popsán v RFC 1510. Jedná se o nejpoužívanější metodu pro Active Directory. Definuje autentizační proces, který poskytuje metody pro ověření identity, například pro pracovní stanici či uživatele. Pro autentizaci klienti používají Kerberos tickets (lístky), které reprezentují síťové credentials (pověření) pro klienta. Klient získá ticket od KDC (Kerberos Key Distribution Center) a ukazuje tento lístek, když se vytváří síťové spojení. Kerberos představuje identitu klienta pomocí jména domény, uživatelského jména a hesla.

LDAP bind

Pokud chceme pracovat s daty adresáře, tak se musíme nejprve ověřit (autentizovat vůči adresáři). Toto ověření se provádí LDAP operací bind. Pokud chceme pouze autentizovat klienta vůči adresáři (například Active Directory) pro účely další aplikace (a ne pro přístup do adresáře), tak se běžně využívá operace bind a po jejím použití se hned odpojíme (unbind). Jinou možností je použití RADIUS (Remote Authentication Dial In User Service) serveru.

Pozn.: Připomínám, že pokud se zadá pouze jméno a prázdné heslo, tak AD předpokládá, že se jedná o anonymní přístup a vrátí, že ověření proběhlo v pořádku.

Pro autentizaci operací bind máme dvě hlavní možnosti:

• Simple bind - používá simple authentication, pro autentizaci se používá DN jméno uživatele a heslo v čistém textu.
• SASL bind - SASL může použít řadu typů SASL mechanismů a k tomu patřičné credentials, například protokol Kerberos nebo klientský certifikát pomocí TLS.

Pokud použijeme Simple bind, tak může dojít k odchycení hesla, proto by se mělo používat vždy ve spolupráci se šifrovaným kanálem pomocí SSL nebo TLS.

Odkazy

• Directory Server Standards and Specifications - znění některých RFC
• Logon and Authentication Technologies - metody autentizace ve Windows