[Править]Протоколы аутентификации

Процедура аутентификации используется при обмене информацией между компьютерами, при этом используются весьма сложные криптографические протоколы, обеспечивающие защиту линии связи от прослушивания или подмены одного из участников взаимодействия. А поскольку, как правило, аутентификация необходима обоим объектам, устанавливающим сетевое взаимодействие, то аутентификация может быть и взаимной.

Самый простой протокол аутентификации - доступ по паролю (Password Authentication Protocol, PAP). Его суть состоит в том, что вся информация о субъекте (идентификатор и пароль) передается по сети в открытом виде. Это и является главным недостатком PAP, так как злоумышленник может легко получить доступ к передающимся незашифрованным данным.

Более сложные протоколы аутентификации основаны на принципе "запрос-ответ", например, протокол CHAP (Challenge-Handshake Authentication Protocol). Работа протокола типа "запрос-ответ" может состоять минимум из четырех стадий:

1. Субъект отправляет системе запрос, содержащий его персональный идентификатор

2. Система генерирует случайное число и отправляет его субъекту

3. Субъект зашифровывает полученное число на основе своего уникального ключа и результат отправляет системе

4. Система расшифровывает полученное сообщение на основе того же уникального ключа. При совпадении результата с исходным случайным числом, аутентификация проходит успешно.

Сам уникальный ключ, на основе которого производится шифрование и с одной, и с другой стороны, не передается по сети, следовательно, злоумышленник не сможет его перехватить. Но субъект должен обладать собственным вычислительным шифрующим устройством, например, смарт-карта, мобильный телефон.

Принцип действия протоколов взаимной аутентификации отличаются от протоколов типа "запрос-ответ" незначительно:

1. Субъект отправляет системе запрос, содержащий его персональный идентификатор и случайное число N1

2. Система зашифровывает полученное число N1 на основе уникального ключа, генерирует случайное число N2, и отправляет их оба субъекту

3. Cубъект расшифровывает полученое число на основе своего уникального ключа и сравнивает результат с n1. Идентичность означает, что система обладает тем же уникальным ключом, что и субъект

4. Субъект зашифровывает полученное число N2 на основе своего уникального ключа и результат отправляет системе

5. Система расшифровывает полученное сообщение на основе того же уникального ключа. При совпадении результата с исходным числом N2, взаимная аутентификация проходит успешно.

Алгоритм, приведенный выше, часто называют рукопожатием. В обоих случаях аутентификация проходит успешно, только если субъект имеет идентичные с системой уникальные ключи.

В операционных системах семейства Windows NT 4 используется протокол NTLM (NT LAN Manager — Диспетчер локальной сети NT). А в доменах Windows 2000/2003 применяется гораздо более совершенный протоколKerberos.

51. erberos /kɛərbərəs/ — сетевой протокол аутентификации, позволяющий передавать данные через незащищённые сети для безопасной идентификации. Он ориентирован в первую очередь на клиент-серверную модель и обеспечивает взаимную аутентификацию — оба пользователя через сервер подтверждают личности друг друга. Данная модель является одним из вариантов Нидхем-Шрёдер-протокола аутентификации на основе доверенной третьей стороны и его модификациях, предложенных Denning и Sacco^[1]

Содержание

  [убрать] 

• 1 Причина появления

• 2 Развитие протокола

  • 2.1 Ранние версии

  • 2.2 Kerberos 4

  • 2.3 Kerberos 5

  • 2.4 Использование и распространение

• 3 Принцип работы

  • 3.1 Kerberos 4

  • 3.2 Kerberos 5

    • 3.2.1 Формальное описание

    • 3.2.2 Подробное описание

  • 3.3 PKINIT

• 4 См. также

• 5 Примечания

• 6 Литература

• 7 Ссылки