Active Directory.pdf - Gattner

Kerberos-Sicherheit 281
5. An dieser Stelle ist der Benutzer authentifiziert, besitzt jedoch noch keinen Zugriff auf Ressourcen
im Netzwerk. Das TGT erteilt dem Ticketerteilungsdienst Zugriff; um jedoch Zugriff auf
andere Ressourcen im Netzwerk zu erhalten, muss der Benutzer ein Dienstticket vom TGS beziehen.
(Siehe Abbildung 8.2.) Die Clientarbeitsstation sendet eine Dienstticketanforderung an den
TGS. Die Anforderung enthält den Namen des Zielcomputers, die Domäne des Zielcomputers,
das während der Authentifizierung erteilte TGT, den SPN (Service Principal Name), auf den der
Benutzerprinzipal zugreifen möchte, und einen Zeitstempel, der anhand des während des AS
Exchange-Vorgangs bezogenen TGS-Sitzungsschlüssels verschlüsselt wurde.
8
Fügt das Sitzungsticket in den
Zwischenspeicher ein
Arbeitsstation
Netzwerkdienst
5 Name des Zielcomputers
Domäne des Zielcomputers
TGT (weiterhin mit dem
dauerhaften Schlüssel des KDCs)
Der SPN, auf den der
UPN zugreifen möchte
Zeitstempel
7
Das Sitzungsticket umfasst
folgende Komponenten:
Sitzungsticket für Client
(verschlüsselt
mit Clientsitzungsschlüssel)
Sitzungsticket für
Netzwerkdienst (verschlüsselt
mit dauerhaftem
Netzwerkdienstschlüssel)
Domänencontroller
6 KDC entschlüsselt TGT
mit seinem dauerhaften
Schlüssel
Extrahiert den Sitzungsschlüssel
Entschlüsselt den Zeitstempel
Bereitet das Sitzungsticket für
den Netzwerkdienst vor
Abbildung 8.2
Anfordern eines Kerberos-Sitzungstickets für eine Netzwerkressource
6. Das KDC entschlüsselt das TGT anhand des langfristigen Schlüssels. Anschließend extrahiert es
den TGS-Sitzungsschlüssel aus dem TGT und entschlüsselt den Zeitstempel, um sicherzustellen,
dass der Client den korrekten Sitzungsschlüssel verwendet und dass der Zeitstempel noch immer
gültig ist. Wenn der Sitzungsschlüssel und der Zeitstempel zulässig sind, führt das KDC anschließend
eine LDAP-Abfrage durch, um das Konto zu finden, für das der Dienstprinzipal registriert
ist. Danach bereitet es ein Dienstticket für den angeforderten Dienst vor.
7. Die Antwort enthält zwei Kopien eines Dienstsitzungsschlüssels. Die erste Kopie des Dienstsitzungsschlüssels
wird über den TGS-Sitzungsschlüssel verschlüsselt, den der Client während der
ersten Anmeldung erhalten hat. Die zweite Kopie des Dienstsitzungsschlüssels ist für den Dienstprinzipal
bestimmt, der den angeforderten Dienst hostet und die Zugriffsinformationen des
Benutzers enthält – ein Dienstticket. Das Dienstticket wird über den geheimen Schlüssel des
Dienstprinzipals verschlüsselt, der den Netzwerkdienst hostet. Dieser Schlüssel ist der Clientarbeitsstation
unbekannt, jedoch sowohl dem KDC als auch dem Dienstprinzipal bekannt, da der
Dienstprinzipal sich im KDC-Bereich oder in einem vertrauten Kerberos-Bereich befindet.