Active Directory.pdf - Gattner

282 Kapitel 8: Active Directory-Domänendienstsicherheit
8. Die Clientarbeitsstation speichert beide Teile des Sitzungstickets im Arbeitsspeicher zwischen.
Hinweis Der in den Schritten 5 bis 8 beschriebene Vorgang verwendet das TGS Exchange-Unterprotokoll.
Die vom Client gesendete Sitzungsticketanforderung wird als KRB_TGS_REQ-Nachricht bezeichnet;
die Serverantwort ist eine KRB_TGS_REP-Nachricht.
9. Der Client legt das Dienstticket jetzt dem Netzwerkdienst vor, um Zugriff zu erhalten. (Siehe
Abbildung 8.3.)
9
Sitzungsticket
wird an den
Netzwerkdienst
gesendet
Arbeitsstation Netzwerkdienst
10 Entschlüsselt den
Sitzungsschlüssel
des Netzwerkdiensts
Überprüft das Benutzerzugriffstoken
Gewährt Zugriff auf Arbeitsstation
Abbildung 8.3
Zugreifen auf den Netzwerkdienst
10. Der Netzwerkdienst verschlüsselt das Dienstticket über seinen geheimen Schlüssel. Mithilfe des
Dienstsitzungsschlüssels entschlüsselt der Dienst anschließend den in der Anforderung enthaltenen
Zeitstempel. Wenn beide Entschlüsselungen erfolgreich verlaufen und der Zeitstempel
innerhalb von fünf Minuten der Uhrzeit des Hostcomputers liegt, vertraut der Dienst darauf,
dass das Ticket vom KDC ausgestellt wurde. Der Netzwerkdienst stellt anschließend fest, ob der
Client eine gegenseitige Authentifizierung angefordert hat. Wenn der Client eine gegenseitige
Authentifizierung anfordert, verschlüsselt der Dienst denselben Zeitstempel, den er in der Anforderung
erhalten hat, mithilfe des Dienstsitzungsschlüssels und antwortet dem Client.
Der Dienst sendet eine Antwort zurück an den Client, wenn der Client eine gegenseitige Authentifizierung
anfordert. In diesem Fall entschlüsselt der Client den Zeitstempel anhand des Dienstsitzungsschlüssels.
Dann vergleicht der Client den erhaltenen Zeitstempel in der Antwort mit dem
Zeitstempel, den er in der ursprünglichen Anforderung gesendet hat. Wenn die Zeitstempel übereinstimmen,
vertraut der Client dem Dienst.
Nach Abschluss der Kerberos-Authentifizierung leitet der Dienstprinzipal, der den angeforderten
Dienst hostet, das Dienstticket an die LSA. Die LSA entschlüsselt daraufhin das Dienstticket und
extrahiert die Autorisierungsdaten. Die Autorisierungsdaten enthalten die Benutzer-SID und die
SIDs von Gruppen, denen der Benutzer angehört. Die LSA verwendet diese Daten für die Erstellung
eines Zugriffstokens. Die Autorisierungsdaten werden als Privilege Attribute Certificate oder
PAC bezeichnet.
Hinweis Der in den Schritten 9 bis 10 beschriebene Vorgang verwendet das Client-/Server-Exchange-
Unterprotokoll (CS). Die Clientanforderung wird als KRB_AP_REQ-Nachricht bezeichnet.