資訊與網路安全技術 第 十三章 用戶認證系統  上一頁     

 

13-6 集中式用戶認證

內容:

  •  13-6-1 集中式認證簡介

  • 13-6-2 主機使用者的認證

  • 13-6-3 工作群組使用者的認證

  • 13-6-4 網域使用者的認證

  • 13-6-5 網域控制台 - Win NT

13-6-1 集中式認證簡介

『鑰匙分配中心』(Key Distribution Center, KDC[74] 大多是使用於封閉性網路(或組織單位的網路)的應用系統之中,負責分配使用者的秘密鑰匙(Secret Key),所以使用者持有此秘密鑰匙才可以存取系統內的網路資源。為何需要 KDC 來分配鑰匙,這是值得深思的問題,我們分三個部分來介紹 KDC 的概念。

13-6-2 主機使用者的確認

『帳號/密碼』是一般伺服系統中認證使用者身份最基本的方法,如先前所介紹的,使用者利用密碼建立與伺服器之間的溝通,雙方身份確認的方法,是以共享密鑰為基礎。然而,就多個使用者而言,主機與每一使用者都必須建立一把獨立的共享密鑰,如此說來,主機本身必須維護多把的共享密鑰,而且每個使用者的資源存取權限不盡相同,主機通常需要建立一個『存取控制表』(Access Control List, ACL(如圖 13-18 所示);其記錄方式又分兩種,一種是資源可讓那些使用者使用,另一種是使用者可存取那些資源,目前大多採用前者。有了 ACL 規劃使用者權限之後,就可以進一步記錄所有使用者存取資源的情形,如此便可達到『稽核』(Audit的功能了。

13-18 使用者與伺服器之間的共享密鑰

13-6-3 工作群組使用者的確認

除非使用者的數目非常多,否則主機對使用者的管理多半不會衍生特殊問題,但如果應用環境存在眾多伺服器(或主機)時,問題就不是那麼簡單了。基本上,使用者在每一個不同的伺服器上都必須建立帳號,才可以使用該伺服器的資源,相同的道理,每一個伺服器也必須建立一個ACL管理使用者,如此一來,多部伺服器與多個使用者便衍生許多帳戶管理上的困難,如圖 13-19 所示。

13-19 多個伺服器與使用者的管理

基本上,我們會將工作性質相同的伺服器(或主機)組合成一個『工作群組』(Workgroup,方便使用者找尋所需要的資源所在之處,當然使用者必須在伺服器上建立帳戶始可存取。當系統環境還不是很複雜的情況下,管理者分別於各個伺服器上建立使用者帳戶尚可以承擔,當然還必須在每一伺服器上建立存取控制表。一旦系統環境變得很大的時候,系統管理就變得瑣碎且複雜,恐有賴其他機制來輔助始可行。

13-6-4 網域使用者的確認

我們可以發現,將工作性質相同的伺服器(或工作站)整合成一個工作群組,亦不能滿足大型應用系統的需求。如果,我們可以將工作性質相同的使用者與伺服器整合成一個群組,或許就能解決大部分的困難,這就是『網域』(DomainKerberos 稱為 Realm的概念。在一個網域之下,它將工作性質相同的使用者與伺服器(與工作站)組合在一起,並給予一個網域名稱(Domain Name),每一網域內至少必須存在一部『網域控制台』(Domain Controller, DCDC 管理該網域下所有使用者與電腦(伺服器或工作站)。每一使用者也必須在 DC 上建立一個『網域使用者』帳戶,才可以存取網域上的資源。基本上,DC 負責管理使用者帳戶,至於存取控制表的維護還是保存在各個伺服器上,所以DC 負責登入的工作,伺服器自己則管理存取控制,其運作程序如圖 13-20 中訊號號碼的次序。

13-20 網域的概念

這樣一來,使用者的共享密鑰僅建立在與 DC 之間,而非在所有的伺服器上。當使用者與 DC 之間以某一種機制(單向或相互認證)確定身份之後,它便可以取得通往伺服器的『鑰匙』,再利用這把鑰匙與伺服器通訊,這就是『鑰匙分配中心』(Key Distribution Center, KDC的概念。簡單的做法是,DC 確定使用者身份與所欲通訊對象之後,分別給予使用者與伺服器一把『會議鑰匙』(Session Key,他們之間再利用這把鑰匙來通訊。

13-6-5 網域控制台 – Win NT

13-21 Windows NT 網域的認證程序(Windows 2000 已採用 Kerberos 系統)。使用者於工作站上輸入帳號與密碼要求登入網域(訊號 (1)(2)),工作站與 DC 之間利用『盤問與回應』協定確定身份之後,DC 會給予一個『符記』(Token給工作站(訊號 (3)),工作站取得符記後,便可通往所欲存取的伺服器(訊號 (4))。如此說來, DC 僅扮演著鑰匙分配中心(KDC)的功能,至於使用者如何登入 KDCKDC 如何分配鑰匙?又使用者與伺服器如何共同確認 KDC 所分配的鑰匙?這些問題待下一節再說明。

13-21 Windows NT 網域認證

主講人:粘添壽博士

 

資訊與網路安全技術