Active Directory.pdf - Gattner

280 Kapitel 8: Active Directory-Domänendienstsicherheit
Alle Zugriffstoken für den Prinzipal (einschließlich der Benutzer-SID und der Sicherheitsgruppen-
SIDs) sind ebenfalls im TGT enthalten. Diese Informationen sind als PAC (Privilege Attribute
Certificate) bekannt. Der TGS-Sitzungsschlüssel wird anhand des geheimen Schlüssels des Benutzers
verschlüsselt. Zusätzlich wird das TGT mit dem langfristigen geheimen Schlüssel des KDC
(KRBRGT) verschlüsselt.
Benutzername
Bereichsname
TGT-Anforderung
Präauthentifizierungsdaten
(verschlüsselt mit geheimem Benutzerschlüssel)
1
Domänencontroller
4
Extrahiert TGS-Sitzungsschlüssel
Fügt das Sitzungsticket in
den Zwischenspeicher ein
Löscht geheimen Schlüssel
Arbeitsstation
2
KDC
Überprüft Benutzername
Extrahiert geheimen Schlüssel
Entschlüsselt Präauthentifizierungsdaten
Überprüft Zeitstempel
3
Ticketinformationen
TGT-Sitzungsschlüssel
Benutzeranmeldeinformationen
Abbildung 8.1
Abrufen eines Kerberos-TGT
4. Wenn das Paket beim Clientcomputer ankommt, wird der geheime Schlüssel des Benutzers zum
Entschlüsseln des TGS-Sitzungsschlüssels verwendet. Verläuft die Entschlüsselung erfolgreich
und ist der Zeitstempel gültig, geht der Computer des Benutzers davon aus, dass das KDC authentisch
ist, weil ihm der geheime Schlüssel des Benutzers bekannt war. Der TGS-Sitzungsschlüssel
wird anschließend auf dem lokalen Computer zwischengespeichert, bis er abläuft oder bis der
Benutzer sich von der Arbeitsstation abmeldet. Dieser TGS-Sitzungsschlüssel wird zum Verschlüsseln
aller zukünftigen Verbindungen mit dem KDC verwendet. Das bedeutet, dass der
Client sich den geheimen Schlüssel nicht länger merken muss und dass dieser aus dem Cache der
Arbeitsstation gelöscht wird. Das TGT wird in verschlüsselter Form im Cache der Arbeitsstation
gespeichert.
Hinweis Das Kerberos-Protokoll umfasst den Authentication Service (AS) Exchange, das Unterprotokoll,
das zum Durchführen der anfänglichen Authentifizierung des Benutzers verwendet wird. Der oben
beschriebene Vorgang verwendet das AS Exchange-Unterprotokoll. Die anfängliche Nachricht, die vom
Client an das KDC gesendet wurde, wird als KRB_AS_REQ-Nachricht bezeichnet. Die Serverantwort an
den Client wird als KRB_AS_REP-Nachricht bezeichnet.