Grundlagen Kerberos,ntlm und Basic Authentifizierung

bouncer86 · 9. August 2013

Hallo,

Habe da derzeit ein paar grundlegende Verständnis Probleme mit der Authentifizierung.

Z.b wann kommt was zum Einsatz?

Bei Basic würd ich jetzt primär Webserver, Pop Server usw. sehen. Auch active Sync oder owa(Webserver)

Übertragung Benutzername und Kennwort im Klartext.

Bei ntlm werden soweit ich weiß die Windows Anmeldedaten weiter gegeben. Richtig? Vermutlich verschlüsselt? Ntlm kann beispielsweise auch für den IIS genutzt werden.

Wenn ich mich am Windows direkt anmelde, ist dies dann auch ntlm?

Wie sieht's zum Beispiel mit dem citrix receiver aus? Dieser kann passthrough authentifizierung. Vermutlich auch NTLM?!

So und ab wann kommt Kerberos zum Einsatz in einem Windows AD Netzwerk?

Soweit ich weis basiert Kerberos über ein Token. D.h. Sobald einer den Benutzer authentifiziert hat, Vertrauen alle anderen Server ihm anhand des Token?

Ich weiß, die Fragestellung ist nicht ganz klar, ich kann es nur leider nicht besser formulieren.

Ich möchte nur vor allem gerne die Unterschiede bzw. Wann was wie am besten eingesetzt wird verstehen. Habt ihr dazu ein paar klärende Worte oder entsprechend Info Material?

Vielen dank.

iDiddi · 10. August 2013

Schau Dir mal die folgende Links an:

http://www.msxfaq.de/verschiedenes/kerberos.htm

http://www.msxfaq.de/verschiedenes/kerberosgrundlagen.htm

Frank Carius hat es, wie ich finde, mal wieder sehr gut erklärt :)

bearbeitet 10. August 2013 von iDiddi

bouncer86 · 10. August 2013

Vielen dank. Das hatte ich noch nicht gefunden.

Wenn ich nun ein frisches AD aufsetze, und z.b mit einem Client an der Domäne anmelde und dann auf einen fileserver zugreife, wird dann schon Kerberos genutzt? Oder läuft die Anmeldung am Fileserver über NTLM?

(Alles win 2008 R2)

iDiddi · 12. August 2013

Sobald man einen Windows Server (ab 2000) zum Domänen-Controller macht, wird zusätzlich zum AD ein Kerberos-Server (KDC) mitinstalliert. Kerberos ist das Standard-Authentifizierungs-Protokoll einer Windows-Domäne. In einer Workgroup kann es nicht verwendet werden.

Kerberos ist zwar ein offener Standard, wurde aber von MS erweitert. Die Änderungen wurden allerdings nicht der OpenSource-Gemeinde bekannt gegeben, was für starke Empöhrung gesorgt hat, gerade bei der Samba-Gemeinde, die ja das AD per Reverse Engineering nachgebaut hat.

Also, um Deine Frage zu beantworten: Ja, dabei sollte Kerberos verwendet werden.

Es gibt aber auch Situationen, da wird auf NTLM2 als Fallback zurückgegriffen.

Wann und warum das so ist, kannst Du hier nachlesen:

http://openbook.galileocomputing.de/windows_server_2008/windows_server_2008_kap_04_004.htm

Falls dann immer noch Fragen sind, findest Du im Internet haufenweise Infos darüber, wie z.B. hier:

http://de.m.wikipedia.org/wiki/Kerberos_(Informatik)

http://www.msxfaq.de/verschiedenes/kerbdebug.htm

http://www.tecchannel.de/server/windows/461656/kerberos_troubleshooting/

http://www.kerberos.org/software/appskerberos.pdf

Viel Vergnügen beim Lesen ;)

bearbeitet 12. August 2013 von iDiddi