Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

30 Kapitel 2: Authentifizierung und Authentifizierungsprotokolle
Microsoft Office Outlook-Client über das Internet eine Verbindung zu einem Exchange Server
herstellt. In diesem Fall werden die Anmeldeinformationen in einem verschlüsselten
Kanal an den Exchange Server oder ISA Server übertragen, je nachdem, wo die Verbindung
endet. Außerhalb eines verschlüsselten Kanals, wie er bei dem Outlook-Exchange-Beispiel
verwendet wird, sollte die Standardauthentifizierung aber vermieden werden.
Frage-Antwort-Protokolle
Frage-Antwort-Protokolle (engl. challenge-response protocol) sollen es unnötig machen, ein
Kennwort im Klartext über das Netzwerk zu senden. Im Prinzip arbeiten sie alle nach demselben
Schema, das in Abbildung 2.7 dargestellt ist.
Abbildung 2.7 Alle Frage-Antwort-Protokolle bauen auf demselben Modell auf
Das grundlegende Modell für ein Frage-Antwort-Protokoll sieht folgendermaßen aus: Ein
Benutzer leitet die Anmeldung ein, woraufhin der Client eine Anforderung an den Server
sendet. Der Server generiert eine Frage (die challenge), die oft lediglich ein Zufallswert ist,
und sendet sie an den Client. In der Zwischenzeit hat der Client die Anmeldeinformationen
des Benutzers abgefragt. Die Anmeldeinformationen werden dann in einer kryptografischen
Operation mit der Frage kombiniert. Das Ergebnis wird die Antwort (response). Die tatsächlichen
Implementierungen können sich unterscheiden, aber die grundlegende Struktur ist
immer dieselbe. Windows unterstützt als Frage-Antwort-Protokolle Digest-Authentifizierung,
die LM/NTLM-Familie und Kerberos.