АвтоАвтоматизацияАрхитектураАстрономияАудитБиологияБухгалтерияВоенное делоГенетикаГеографияГеологияГосударствоДомДругоеЖурналистика и СМИИзобретательствоИностранные языкиИнформатикаИскусствоИсторияКомпьютерыКулинарияКультураЛексикологияЛитератураЛогикаМаркетингМатематикаМашиностроениеМедицинаМенеджментМеталлы и СваркаМеханикаМузыкаНаселениеОбразованиеОхрана безопасности жизниОхрана ТрудаПедагогикаПолитикаПравоПриборостроениеПрограммированиеПроизводствоПромышленностьПсихологияРадиоРегилияСвязьСоциологияСпортСтандартизацияСтроительствоТехнологииТорговляТуризмФизикаФизиологияФилософияФинансыХимияХозяйствоЦеннообразованиеЧерчениеЭкологияЭконометрикаЭкономикаЭлектроникаЮриспунденкция

Зачем подписывать данные авторизации

Читайте также:
  1. Meta-данные
  2. В выражении можно смешивать без явного приведения типов только совместимые данные.
  3. ВНИМАНИЕ: эти данные заполняются при приеме базы c накладной из департамента. В данном окне отражаются только не выданные путевки.
  4. Входные данные основного учебника.
  5. Входные данные примерной, авторской программы.
  6. Выходные данные
  7. Г) официальные VENC-карты, данные которых стандартизированы по содержанию, структуре, формату обмена.
  8. ГЛАВА 3. СТАТИСТИЧЕСКИЕ ДАННЫЕ
  9. Данные к задаче 1
  10. Данные лабораторного исследования
  11. ДАННЫЕ НАБЛЮДЕНИЯ ЗА БОЛЬНЫМ В ПСИХИАТРИЧЕСКОМ ОТДЕЛЕНИИ
  12. Данные о выполнении производственной программы

Сеансовый билет шифруется с секретным ключом той учетной записи, в контексте безопасности которой была запущена служба. Доступ к этому ключу может получить любая служба, имеющая описатель своего собственного удостоверения. Это открывает возможность для мошенничества. Пользователь со вполне законной учетной записью в сети может попытаться повысить уровень своих прав, воспользовавшись для этого фиктивной службой. Установив ее, злоумышленник запросит сеансовый билет для новой службы, а затем расшифрует его, изменит данные авторизации (например, добавив в них идентификатор SID привилегированной группы), вновь зашифрует скорректированный билет и представит его в подсистему LSA для вызова метода AcceptSecurityContext. Таким способом ему удастся расширить свои права на том компьютере, где запущена его служба.

Чтобы предотвратить подделку данных авторизации, они перед внесением в сеансовый билет подписываются службой KDC. После этого любая попытка скорректировать такие данные неизбежно приведет к искажению подписи. Подсистема LSA на компьютере Windows 2000 обязательно проверяет достоверность такой подписи во всех сеансовых билетах, кроме тех, что поступили от доверяемых служб.

При получении запроса на метод AcceptSecurityContext подсистема LSA доверяет только тем службам, которые работают в контексте учетной записи Local Systems. Дело в том, что эта учетная запись по умолчанию доступна лишь службам, которые были установлены вместе с самой операционной системой, например внутренней службе «Сервер» (Server). Конечно, использование этой учетной записи нетрудно предусмотреть в конфигурации и других служб, однако сделать это может лишь член группы Администраторов. Предполагается, что администратор, установивший такую службу, полностью отвечает за ее безопасность.

Службам, работающим в контекстах других учетных записей, подсистема LSA не доверяет. Получив сеансовый билет от любого приложения, которое не входит в число локальных систем (группа Local System), она просит центр KDC своего домена проверить подпись в поле с данными авторизации. Запрос и ответ на него производятся с помощью вызова удаленной процедуры по защищенному каналу (Netlogon) контроллера домена. Такие запросы никогда не покидают пределов локального домена, что объясняется просто: сеансовые билеты всегда выдаются, – а значит, и подписываются, – службой KDC того домена, где находится запрашиваемый компьютер.


1 | 2 | 3 | 4 | 5 | 6 | 7 | 8 | 9 | 10 | 11 | 12 | 13 | 14 | 15 | 16 | 17 | 18 | 19 | 20 |

Поиск по сайту:

Все материалы представленные на сайте исключительно с целью ознакомления читателями и не преследуют коммерческих целей или нарушение авторских прав. Студалл.Орг (0.003 сек.)