एमआईटी पाठ्यक्रम "कंप्यूटर सिस्टम सुरक्षा"। व्याख्यान 13: नेटवर्क प्रोटोकॉल, भाग 1

मैसाचुसेट्स इंस्टीट्यूट ऑफ टेक्नोलॉजी। व्याख्यान पाठ्यक्रम # 6.858। "कंप्यूटर सिस्टम की सुरक्षा।" निकोलाई ज़ेल्डोविच, जेम्स मिकेंस। 2014 साल

कंप्यूटर सिस्टम सुरक्षा सुरक्षित कंप्यूटर सिस्टम के विकास और कार्यान्वयन पर एक कोर्स है। व्याख्यान खतरे के मॉडल को कवर करते हैं, हमले जो सुरक्षा से समझौता करते हैं, और हाल के वैज्ञानिक कार्यों के आधार पर सुरक्षा तकनीक। विषय में ऑपरेटिंग सिस्टम (OS) सुरक्षा, सुविधाएँ, सूचना प्रवाह प्रबंधन, भाषा सुरक्षा, नेटवर्क प्रोटोकॉल, हार्डवेयर सुरक्षा और वेब अनुप्रयोग सुरक्षा शामिल हैं।

व्याख्यान 1: "परिचय: खतरे के मॉडल" भाग 1 / भाग 2 / भाग 3
व्याख्यान 2: "हैकर हमलों का नियंत्रण" भाग 1 / भाग 2 / भाग 3
व्याख्यान 3: "बफर ओवरफ्लो: शोषण और संरक्षण" भाग 1 / भाग 2 / भाग 3
व्याख्यान 4: "पृथक्करण का पृथक्करण" भाग 1 / भाग 2 / भाग 3
व्याख्यान 5: "सुरक्षा प्रणालियाँ कहाँ से आती हैं?" भाग 1 / भाग 2
व्याख्यान 6: "अवसर" भाग 1 / भाग 2 / भाग 3
व्याख्यान 7: "मूल ग्राहक सैंडबॉक्स" भाग 1 / भाग 2 / भाग 3
व्याख्यान 8: "नेटवर्क सुरक्षा मॉडल" भाग 1 / भाग 2 / भाग 3
व्याख्यान 9: "वेब अनुप्रयोग सुरक्षा" भाग 1 / भाग 2 / भाग 3
व्याख्यान 10: "प्रतीकात्मक निष्पादन" भाग 1 / भाग 2 / भाग 3
व्याख्यान 11: "उर / वेब प्रोग्रामिंग भाषा" भाग 1 / भाग 2 / भाग 3
व्याख्यान 12: नेटवर्क सुरक्षा भाग 1 / भाग 2 / भाग 3
व्याख्यान 13: "नेटवर्क प्रोटोकॉल" भाग 1 / भाग 2 / भाग 3

तो, आज हम करबरोस के बारे में बात करेंगे, जो कि क्रिप्टोग्राफिक रूप से सुरक्षित प्रोटोकॉल है जो कंप्यूटर के पारस्परिक प्रमाणीकरण और नेटवर्क पर अनुप्रयोगों के लिए डिज़ाइन किया गया है। यह उनके बीच संबंध स्थापित करने से पहले क्लाइंट और सर्वर को प्रमाणित करने के लिए एक प्रोटोकॉल है।

इसलिए अब, अंतिम व्याख्यान के विपरीत, हम क्रिप्टोग्राफी का उपयोग करेंगे, जहां हमने केवल टीसीपी SYN अनुक्रम संख्या का उपयोग करके सुरक्षित करने पर ध्यान दिया।



तो चलिए Kerberos के बारे में बात करते हैं। क्या इस प्रोटोकॉल का समर्थन करने की कोशिश कर रहा है? यह हमारे संस्थान में 25 या 30 साल पहले एथेना परियोजना के हिस्से के रूप में बनाया गया था ताकि कई सर्वर कंप्यूटरों और कई क्लाइंट कंप्यूटरों की सहभागिता सुनिश्चित की जा सके।

कल्पना कीजिए कि आपके पास एक फ़ाइल सर्वर है। शायद यह नेटवर्क या अन्य नेटवर्क सेवाओं से जुड़ा एक मेल सर्वर है, जैसे प्रिंटर। और यह सब बस कुछ नेटवर्क से जुड़ा हुआ है, और एक कंप्यूटर पर नहीं।



एथेना और केर्बरोस के निर्माण के लिए शर्त यह थी कि आपके पास एक साथ साझा करने के लिए एक मशीन थी, जहाँ सब कुछ एक अलग प्रक्रिया थी, और हर कोई बस एक ही सिस्टम में लॉग इन कर सकता है और अपनी फ़ाइलों को वहाँ स्टोर कर सकता है। इसलिए, डेवलपर्स एक अधिक सुविधाजनक वितरित प्रणाली बनाना चाहते थे।



इस प्रकार, इसका मतलब था कि आपके पास इन सर्वरों को एक तरफ और दूसरी तरफ कार्यस्थानों का एक गुच्छा होगा जो उपयोगकर्ता खुद का उपयोग करेंगे और जिस पर एप्लिकेशन चलेंगे। ये कार्यस्थान इन सर्वरों से कनेक्ट होंगे और उपयोगकर्ता फ़ाइलों को संग्रहीत करेंगे, अपना मेल प्राप्त करेंगे, और इसी तरह।

समस्या जो वे हल करना चाहते थे, वह यह था कि उन उपयोगकर्ताओं को कैसे प्रमाणित किया जाए जो इन सभी विभिन्न कंप्यूटरों के लिए सर्वर साइड में काम करते हैं, बिना नेटवर्क पर भरोसा किए और इसकी शुद्धता को सत्यापित किए बिना। यह हर तरह से एक उचित डिजाइन की आवश्यकता थी। मुझे यह उल्लेख करना चाहिए कि उस समय केर्बरोस का विकल्प आर लॉगिन टीम थी, जो पिछले व्याख्यान में चर्चा की गई थी, जो एक बुरी योजना की तरह लग रही थी, क्योंकि वे उपयोगकर्ताओं को प्रमाणित करने के लिए अपने आईपी पते का उपयोग करते हैं।

कर्बरोस काफी सफल रहा है, यह वास्तव में अभी भी एमआईटी नेटवर्क पर उपयोग किया जाता है और माइक्रोसॉफ्ट के सक्रिय निर्देशिका सर्वर की रीढ़ है। लगभग हर Microsoft Windows सर्वर-आधारित उत्पाद एक या दूसरे रूप में Kerberos का उपयोग करता है।

लेकिन इस प्रोटोकॉल को 25 या 30 साल पहले विकसित किया गया था, और तब से इसमें बदलाव की आवश्यकता है, क्योंकि आज लोग सुरक्षा के बारे में अधिक समझते हैं। इस प्रकार, इस व्याख्यान के लिए सामग्री में वर्णित संस्करण से कर्बरोस का वर्तमान संस्करण काफी अलग है। हम इस बात पर विचार करेंगे कि कौन सी विशेष धारणाएं आज अच्छी नहीं हैं और पहले संस्करण में क्या गलत था। यह पहले प्रोटोकॉल के लिए अपरिहार्य है जिसने नेटवर्क प्रतिभागियों को पूर्ण-विकसित प्रणाली में प्रमाणित करने के लिए वास्तव में क्रिप्टोग्राफी का उपयोग किया था।

किसी भी स्थिति में, बोर्ड पर दर्शाया गया आरेख कर्बरोस बनाने के लिए एक प्रकार की स्थापना है। यह पता लगाना दिलचस्प है कि ट्रस्ट का मॉडल क्या है। इसलिए, हमारी योजना में एक अतिरिक्त संरचना शुरू की गई है - करबरोस सर्वर, यहां स्थित है।



इस प्रकार, हमारा तीसरा मॉडल कुछ मायनों में इस तथ्य पर आधारित है कि नेटवर्क अविश्वसनीय है, जैसा कि हमने पिछले व्याख्यान में उल्लेख किया है। इस केर्बरोस योजना में हमें किस पर भरोसा करना चाहिए? बेशक, सभी नेटवर्क प्रतिभागियों को Kerberos सर्वर पर भरोसा करना चाहिए। इस प्रकार, एक समय में सिस्टम के रचनाकारों ने सुझाव दिया कि कर्बरोस सर्वर एक या दूसरे रूप में नेटवर्क प्रमाणीकरण के सभी चेक के लिए जिम्मेदार होगा। इस नेटवर्क पर हमारे पास और क्या है जिस पर आप भरोसा कर सकते हैं?

छात्र: उपयोगकर्ता अपनी मशीनों पर भरोसा कर सकते हैं।

प्रोफेसर: हाँ, यह एक अच्छा तर्क है। यहां ऐसे उपयोगकर्ता हैं जिन्हें मैंने आकर्षित नहीं किया है। लेकिन ये लोग किसी प्रकार के वर्कस्टेशन का उपयोग करते हैं, और वास्तव में, केर्बरोस में यह बहुत महत्वपूर्ण है कि उपयोगकर्ता अपने वर्कस्टेशन पर भरोसा करता है। यदि आप अपने कार्य केंद्र पर भरोसा नहीं करते हैं तो क्या होता है? क्योंकि यदि उपयोगकर्ता कार्य केंद्र पर भरोसा नहीं करता है, तो वहां आप बस अपना पासवर्ड "सूँघ सकते हैं" और अपनी ओर से कार्य कर सकते हैं।



छात्र: एक हमलावर बहुत अधिक कर सकता है, उदाहरण के लिए, आपके टिकट को करबरोस सर्वर से सीखकर।

प्रोफेसर: हाँ, बिल्कुल। जब आप लॉग इन करते हैं, तो आप अपना पासवर्ड दर्ज करते हैं, जो टिकट से भी बदतर है। तो वास्तव में, यदि आप वर्कस्टेशन पर भरोसा नहीं करते हैं तो केर्बरोस के साथ एक छोटी सी समस्या है। यदि आप अपने खुद के लैपटॉप का उपयोग करते हैं, तो यह इतना डरावना नहीं है, लेकिन एक सार्वजनिक कंप्यूटर की सुरक्षा संदेह में है। हम विचार करेंगे कि इस मामले में क्या गलत हो सकता है।

छात्र: आपको सर्वर व्यवस्थापकों पर भरोसा करना चाहिए और यह सुनिश्चित करना चाहिए कि वे एक दूसरे के सर्वर तक विशेषाधिकार प्राप्त कर सकते हैं।

प्रोफेसर: मुझे लगता है कि मशीनों को खुद एक-दूसरे पर भरोसा करने की ज़रूरत नहीं है, उदाहरण के लिए, मेल सर्वर को प्रिंट सर्वर या फ़ाइल सर्वर पर भरोसा नहीं करना पड़ता है।

छात्र: भरोसा मत करो, लेकिन एक सर्वर तक पहुंचने की क्षमता है जो किसी अन्य सर्वर के माध्यम से एक्सेस करने के लिए समर्थित नहीं है।

प्रोफेसर: हाँ, यह सच है। यदि आप मेल सर्वर और प्रिंट सर्वर के बीच एक विश्वास संबंध स्थापित करते हैं, लेकिन सुविधा के लिए फाइल सर्वर पर मेल सर्वर को अपनी फ़ाइलों तक पहुंच प्रदान करते हैं, तो यह दुर्व्यवहार हो सकता है। इसलिए आपको यहां अतिरिक्त स्तर के भरोसे या अनावश्यक ट्रस्टों को शुरू करने के बारे में सावधान रहना चाहिए।

यहां और क्या मायने रखता है? क्या सर्वर को किसी तरह उपयोगकर्ताओं या कार्यस्थानों पर भरोसा करना चाहिए? मुझे लगता है कि नहीं। कर्बेरोस का वैश्विक लक्ष्य यह था कि सर्वर एक प्राथमिकताओं को इन सभी उपयोगकर्ताओं या कार्यस्थानों को नहीं जानना चाहिए, या उन्हें कैसे प्रमाणित करना चाहिए, जब तक कि ये उपयोगकर्ता गुप्त रूप से यह साबित नहीं कर सकते कि वे वैध उपयोगकर्ता हैं और उनके डेटा या कुछ तक पहुंच होनी चाहिए सर्वर से अधिक का प्रबंधन करता है।

आइए देखें कि केर्बरोस कैसे काम करता है और इसकी सामान्य वास्तुकला क्या है। चलिए एक बड़े पैमाने पर कर्बेरॉस सर्वर बनाते हैं। आजकल, इसे केडीसी - कुंजी वितरण केंद्र, या कुंजी प्रदान करने वाला केंद्र कहा जाता है। कहीं-कहीं ऐसे उपयोगकर्ता और सेवाएँ हैं जिनसे आप जुड़ सकते हैं। योजना यह है कि कर्बरोस सर्वर, केर्बरोस सर्वर और इसके आसपास की दुनिया की प्रत्येक कंप्यूटर इकाई के बीच संचार के लिए साझा कुंजी को संग्रहीत करने के लिए जिम्मेदार होगा। इस प्रकार, यदि उपयोगकर्ता के पास किसी प्रकार का क्लाइंट कुंजी Kc है, तो Kerberos सर्वर इस कुंजी को याद रखता है और इसे अपने अंदर कहीं संग्रहीत करता है। उसी तरह, किसी सेवा के लिए Ks कुंजी केवल इस सेवा, Kerberos सर्वर और किसी और के लिए ही जानी जाएगी। इस प्रकार, आप इसे पासवर्ड के सामान्य उपयोग के रूप में सोच सकते हैं जब आप पासवर्ड जानते हैं और केर्बरोस इसे जानता है, लेकिन कोई और इसे नहीं जानता है।



कि आप एक दूसरे को कैसे साबित करने जा रहे हैं कि "मैं वही आदमी हूँ।" बेशक, कर्बेरोस सर्वर को इस कुंजी का मालिक कौन है, इसका ट्रैक रखना होगा, इसलिए इसमें एक तालिका होनी चाहिए जिसमें उपयोगकर्ता नाम और सेवा के नाम, उदाहरण के लिए, सर्वर afs (यह एक फ़ाइल सर्वर है), और उनके अनुरूप कुंजी संग्रहीत की जाएगी।

उसी समय, केडीसी एक विशाल तालिका के भंडारण के लिए ज़िम्मेदार है, बाइट्स की संख्या के मामले में बहुत बड़ी नहीं है, लेकिन रिकॉर्ड की संख्या में बहुत बड़ा है, क्योंकि यह एमआईटी नेटवर्क में रहने वाले किसी भी कंप्यूटर इकाई को ध्यान में रखता है जिसे केरोसोस सर्वर के बारे में पता होना चाहिए। इस प्रकार, हमारे पास दो प्रकार के इंटरफ़ेस हैं।



व्याख्यान सामग्री इस बारे में स्पष्ट रूप से पर्याप्त नहीं बोलती है, अर्थात, इन 2 इंटरफेस का अस्तित्व बस निहित है। वास्तव में, एक मशीन के लिए वास्तव में दो इंटरफेस हैं। उनमें से एक को केर्बोस कहा जाता है, और दूसरा टीजीएस, टिकट अनुदान सेवा या टिकट सेवा है।

वास्तव में, अंत में, ये एक ही चीज़ के बारे में बात करने के लिए सिर्फ दो तरीके हैं, और इन दो चीजों के लिए प्रोटोकॉल केवल थोड़ा अलग है। इसलिए, शुरू में, जब कोई उपयोगकर्ता लॉग इन करता है, तो वह ऊपरी इंटरफ़ेस, केर्बरोस के साथ "बोलता है" और उसे अपना क्लाइंट नाम सी भेजता है, यह एथेना विश्वविद्यालय नेटवर्क पर आपका उपयोगकर्ता नाम हो सकता है।

सर्वर एक tgs टिकट या टिकट जानकारी के साथ इस अनुरोध का जवाब देता है, हम इस जानकारी के विवरण पर थोड़ी देर बाद चर्चा करेंगे। फिर, जब आप किसी सेवा से चैट करना चाहते हैं, तो आपको सबसे पहले टीजीएस इंटरफेस में जाना होगा और यह बताना होगा: "मैंने पहले ही केर्बरोस इंटरफेस के माध्यम से लॉग इन किया है और अब मैं एस सर्वर से बात करना चाहता हूं, जो मुझे एक निश्चित सेवा प्रदान करेगा।"

तो आप TGS को उस सर्वर के बारे में बताते हैं, जिससे आप बात करना चाहते हैं, जिसके बाद वह आपके पास सर्वर एस पर बात करने के लिए टिकट की तरह कुछ लौटाएगा। तब आप अंततः उस सर्वर से बात कर सकते हैं जिसे आपको सर्वर एस के लिए प्राप्त टिकट का उपयोग करने की आवश्यकता है।

यह एक तरह की उच्चस्तरीय योजना है। तो 2 इंटरफेस यहाँ क्यों उपयोग किए जाते हैं? इस बारे में बहुत सारे सवाल पूछे जा सकते हैं। केएस सर्वर के मामले में, यह सेवा संभवतः डिस्क पर संग्रहीत की जाएगी। और उपयोगकर्ता के पक्ष में इस केसी का क्या होता है? यह केबीसी कर्बरोस में कहां से आता है?



छात्र: यह केसी डेटाबेस में, केडीसी सर्वर टेबल में होना चाहिए।

प्रोफेसर: हाँ, ठीक है, सी कुंजी यहाँ तालिका में है, इस विशाल डेटाबेस में। लेकिन यह उपयोगकर्ता को भी पता होना चाहिए, क्योंकि उपयोगकर्ता को यह साबित करना होगा कि वह एक उपयोगकर्ता है।

छात्र: क्या यह एक तरह से कार्य है जिसके लिए पासवर्ड की आवश्यकता होती है?

प्रोफेसर: हाँ, उनके पास वास्तव में ऐसी स्मार्ट योजना है, जहाँ केसी को उपयोगकर्ता के पासवर्ड या किसी प्रकार के प्रमुख पीढ़ी के कार्य के लिए हैशिंग द्वारा प्राप्त किया जाता है, इसके लिए कई अलग-अलग तरीके हैं। लेकिन मूल रूप से हम पासवर्ड लेते हैं, इसे किसी तरह परिवर्तित करते हैं, और यह कुंजी केसी प्राप्त करते हैं। तो यह एक अच्छा तरीका लगता है।

लेकिन हमें दो प्रोटोकॉल की आवश्यकता क्यों है? आखिरकार, आप कल्पना कर सकते हैं कि आप सीधे पहले केर्बरोस इंटरफ़ेस से सीधे टिकट का अनुरोध करते हैं, उसे बता रहे हैं: "हे, मुझे इस विशेष नाम के लिए एक टिकट चाहिए!", वह आपको टिकट वापस भेज देगा, और आप इसे केसी का उपयोग करके डिक्रिप्ट कर सकते हैं।

छात्र: शायद वे उपयोगकर्ता को अपना पासवर्ड हर बार फिर से दर्ज करने के लिए नहीं चाहते हैं जो वे किसी अन्य सेवा तक पहुंचना चाहते हैं?

प्रोफेसर: सच है, दो इंटरफेस के बीच अंतर का कारण यह है कि पहले इंटरफ़ेस से सभी प्रतिक्रियाएं आपके केसी कुंजी के साथ एन्क्रिप्ट की गई हैं, और केर्बरोस के निर्माता इस केसी को लंबे समय तक रखने की संभावना के बारे में चिंतित थे। क्योंकि या तो आपको उपयोगकर्ता को हर बार पासवर्ड दर्ज करने के लिए कहना होगा, जो कि केवल कष्टप्रद है, या फिर वह लगातार मेमोरी में "बैठता है"। मूल रूप से, यह सिर्फ एक उपयोगकर्ता पासवर्ड के रूप में अच्छा है, क्योंकि केसी पहुंच वाला कोई व्यक्ति उपयोगकर्ता की फ़ाइलों तक पहुंच रख सकता है जब तक कि उपयोगकर्ता शायद अपना पासवर्ड नहीं बदलता है, या इससे भी लंबे समय तक। बाद में हम इस मुद्दे पर अधिक विस्तार से विचार करेंगे।

तो इस केसी कुंजी को लीक करना एक बहुत ही खतरनाक चीज है। इस प्रकार, बाद के सभी अनुरोधों के लिए पहले और फिर दूसरे इंटरफ़ेस का उपयोग करने का पूरा बिंदु यह है कि आप करबरोस सर्वर टीजीएस इंटरफ़ेस से प्रतिक्रिया को डिक्रिप्ट करते ही वास्तव में केसी को भूल सकते हैं। अब से, एक कुंजी रिसाव की स्थिति में भी, कार्यक्षमता प्राप्त टिकट पर निर्भर करेगी। तो सबसे खराब स्थिति में, कोई व्यक्ति आपके खाते में कुछ घंटों के लिए पहुंच जाएगा, और असीमित समय के लिए नहीं। इस तरह की योजना का कारण समान संसाधनों के लिए दो पहुंच पथ हैं।

इसलिए, इससे पहले कि हम यांत्रिकी में यह बताएं कि ये प्रोटोकॉल वास्तव में नेटवर्क पर कैसे दिखते हैं, चलो केरोसीन नामों के पहलू के बारे में थोड़ा बात करते हैं। एक अर्थ में, केर्बेरोस को नामों की एक रजिस्ट्री माना जा सकता है। वह इन क्रिप्टोग्राफ़िक कुंजियों को लोअरकेस नामों के रूप में प्रदर्शित करने के लिए ज़िम्मेदार है। यह मूलभूत प्रकार का ऑपरेशन है जो केर्बरोस करता है। आप अगले व्याख्यान में देखेंगे कि हमें एक समान फ़ंक्शन की आवश्यकता क्यों है। इसे केर्बरोस की तुलना में अलग तरीके से लागू किया जा सकता है, लेकिन लगभग किसी भी वितरित सुरक्षा प्रणाली में समान चीज का होना बुनियादी रूप से बहुत महत्वपूर्ण है। तो, आइए देखें कि केर्बरोस नामों के साथ कैसे व्यवहार करते हैं।

करबरोस के पास नेटवर्क सदस्यों के डेटाबेस में प्रत्येक कंप्यूटर इकाई के लिए सिस्टम कॉल की तरह कुछ है, और इस डेटा का मुख्य रूप सिर्फ एक स्ट्रिंग है। तो आपके पास निकोलई जैसे कुछ मूल नाम हो सकते हैं, उदाहरण के लिए। यह नाम स्ट्रिंग है।



यह Kerberos के कुछ क्षेत्र में मुख्य पैरामीटर है, वास्तव में यह वह चीज है जो KDC तालिका के बाएं स्तंभ में है। और कुछ अतिरिक्त पैरामीटर भी हैं जो प्रोटोकॉल का समर्थन करते हैं। उदाहरण के लिए, मैं एक अन्य नाम जैसे कि nicolai.extra sec दर्ज कर सकता हूं, जिसका उपयोग अतिरिक्त सुरक्षा की आवश्यकता वाले संसाधनों तक पहुंचने के लिए नाम निकोलाई के अलावा किया जाएगा। तो शायद मेरे पास वास्तव में सुरक्षित चीजों के लिए एक पासवर्ड होगा और मेरे नियमित खाते के लिए दूसरा पासवर्ड होगा।

केर्बरोस ने इस पहलू का उल्लेख किया है। इसलिए, किसी को आश्चर्य हो सकता है - प्रभाव कहां से आता है? कर्बेरोस सेवा आपके लिए कुछ कुंजी के नाम मैप करती है, लेकिन आप कैसे जानते हैं कि किसी कंप्यूटर से बात करते समय आपको किस नाम से पूछना चाहिए या किस नाम से प्रतिक्रिया देनी चाहिए? यही है, मैं पूछता हूं कि करबरोस सर्वर के बाहर कौन से नाम दिखाई देते हैं, या ये उपयोगकर्ता नाम वास्तव में कहां दिखाई देते हैं? क्या आपके पास कोई विचार है?

छात्र: संभवतः आप MIT सर्वर से उपयोगकर्ता नाम पूछ सकते हैं।

प्रोफेसर: हां, बिल्कुल। यह आप इन चीजों को सूचीबद्ध कर सकते हैं। इसके अलावा, उपयोगकर्ता बस लॉग इन करते समय उन्हें दर्ज करते हैं, जो कि वे कहाँ से आते हैं। क्या उपयोगकर्ता नाम कहीं और दिखाई देते हैं? क्या उन्हें कहीं और दिखाई देना चाहिए?

छात्र: यह संभव है कि विभिन्न सेवाओं में सूचियों में उपयोगकर्ता की पहुंच का संकेत दिया गया हो।

प्रोफेसर: हाँ, यह एक बहुत ही महत्वपूर्ण बिंदु है, है ना? Kerberos का लक्ष्य केवल नाम के लिए कुंजियाँ मैप करना है। लेकिन यह आपको यह नहीं बताता है कि इस नाम का क्या उपयोग होना चाहिए।

वास्तव में, जिस तरह से एप्लिकेशन आमतौर पर केर्बरोस का उपयोग करते हैं, वह यह है कि इनमें से एक सर्वर कर्बेरोस का उपयोग यह पता लगाने के लिए करता है कि वह किस लोअरकेस नाम से बात कर रहा है। जब मेल सर्वर कुछ कार्य केंद्र से एक कनेक्शन प्राप्त करता है, तो उसे केर्बरोस टिकट प्राप्त होता है, जो साबित करता है कि यह उपयोगकर्ता निकोलाई है। उसके बाद, मेल सर्वर आंतरिक रूप से यह पता लगाता है कि इस उपयोगकर्ता की पहुंच क्या है। फ़ाइल सर्वर भी ऐसा ही करता है।

इस प्रकार, इन सभी सर्वरों के अंदर एक्सेस कंट्रोल लिस्ट होती है, संभवतः ग्रुप लिस्ट या अन्य चीजें जो प्राधिकरण ले जाती हैं। तो केर्बरोस प्रमाणीकरण प्रदान करता है जो आपको दिखाता है कि आप किस व्यक्ति से बात कर रहे हैं। सेवा प्राधिकरण के उस हिस्से के कार्यान्वयन के लिए स्वयं जिम्मेदार है, जो यह तय करता है कि आपके उपयोगकर्ता नाम के आधार पर आपके पास किस स्तर की पहुंच होनी चाहिए। इसलिए हमने यह पता लगा लिया कि उपयोगकर्ता नाम कहाँ दिखाई देते हैं। अन्य मूल नाम हैं जो कि केर्बोस सेवाओं के साथ बातचीत करने के लिए समर्थन करते हैं।

व्याख्यान सामग्री के अनुसार, सेवाएं कुछ इस तरह दिखती हैं: rcmd.hostname। इन सेवाओं में से एक के लिए आपको एक नाम की आवश्यकता है, क्योंकि आप चाहते हैं, उदाहरण के लिए, फ़ाइल सर्वर से कनेक्ट होने पर, पारस्परिक प्रमाणीकरण करने के लिए। इसका मतलब यह है कि इस प्रक्रिया में, न केवल गंतव्य सर्वर यह पता लगाएगा कि मैं कौन हूं, बल्कि मैं भी, उपयोगकर्ता या कार्य केंद्र, सुनिश्चित करें कि मैं सही फ़ाइल सर्वर से बात कर रहा हूं, और कुछ नकली फ़ाइल सर्वर से नहीं जो मेरा काम करता है फ़ाइलें। क्योंकि, शायद, मैं अपनी रेटिंग के साथ फाइल देखना चाहता हूं और इसे रजिस्ट्रार को भेजना चाहता हूं। इसलिए, यह बहुत बुरा होगा यदि कुछ अन्य फ़ाइल सर्वर सही सर्वर के रूप में कार्य कर सकते हैं और मुझे गलत रेटिंग फ़ाइल प्रदान कर सकते हैं।

इसलिए, सेवाओं को भी अपने नाम की आवश्यकता होती है, और वर्कस्टेशन को यह पता लगाना चाहिए कि सेवा से कनेक्ट होने पर मुझे किस नाम की उम्मीद है।



एक नियम के रूप में, कुछ स्तर पर यह उपयोगकर्ता से आता है। इसलिए, उदाहरण के लिए, यदि मैं ssh.foo टाइप करता हूं, तो इसका मतलब है कि मुझे इस कनेक्शन के दूसरे छोर पर प्रदर्शित होने के लिए rcmd.foo जैसे केर्बरोस मुख्य नाम की अपेक्षा करनी चाहिए। और अगर कोई और है, तो एसएसएच क्लाइंट को डिस्कनेक्ट करना चाहिए और मुझे कनेक्ट करने की अनुमति नहीं देनी चाहिए, क्योंकि तब मुझे गुमराह किया जाएगा और किसी अन्य मशीन से बात करना शुरू कर देगा।

यह एक दिलचस्प सवाल उठाता है। कर्बरोस में हम नामों का पुन: उपयोग कब कर सकते हैं? उदाहरण के लिए, आप सभी के पास एथेना संस्थान प्रणाली में खाते हैं। जब आप स्नातक होते हैं, तो क्या MIT आपके डेटाबेस प्रविष्टि को नष्ट कर सकता है और किसी और को उसी उपयोगकर्ता नाम को पंजीकृत करने की अनुमति दे सकता है? क्या यह एक अच्छा विचार होगा?

छात्र: लेकिन न केवल कर्बेरोस डेटाबेस, बल्कि सेवाओं में उपयोगकर्ता नामों की एक सूची है?

प्रोफेसर: हाँ, क्योंकि ये नाम वास्तव में एक फ़ाइल या मेल सर्वर पर ACL में कहीं कहीं स्ट्रिंग प्रविष्टियों द्वारा दर्शाए गए हैं। यदि हम Kerberos सर्वर डेटाबेस में आपकी प्रविष्टि मिटा देते हैं, तो इसका मतलब यह नहीं है कि आपकी प्रविष्टि पूरी तरह से गायब हो गई है। ये प्रविष्टियाँ संस्करण स्वतंत्र हैं।

उदाहरण के लिए, एक रिकॉर्ड कहता है कि ऐलिस के पास एथेना के कुछ लॉकर तक पहुंच है। फिर ऐलिस स्नातक, और उसका रिकॉर्ड हटा दिया जाता है, लेकिन कुछ नए ऐलिस संस्थान में प्रवेश करते हैं, जो कि केर्बोस डेटाबेस में पंजीकरण प्रक्रिया से गुजरता है। उसी समय, उसे मुख्य नाम मिलता है जो पूरी तरह से पुराने एलिस के नाम के समान है, इसलिए फ़ाइल सर्वर पुराने ऐलिस की फ़ाइलों को नया ऐलिस एक्सेस दे सकता है।

, Kerberos , Kerberos . , , , .

. , , , , , . , , , - . , . , , .

, . , , , TGS.



, , Kerberos, «». : s , IP – addr, time stump, life, , , Kc,s, . .



.

, Kerberos «». Ac , IP- , , . , . K,s, , Kerberos Ks. , .



, , Kerberos TGS. , , Kerberos, , . : C, , S, TGS. .

Tc,s, Ks, , Ks, , Kc. .



. , Kerberos ? , ?

: , , , Kc.

: , , Kerberos , . : «, , . , , , Kc». , .

, , , Kerberos, Kerberos , . , , - Kerberos, , .
: …

: , , Kerberos, ? , ? , , , , , , , , , .



«», , , , , . , , . . Kerberos, , . , , .

: ? , …

: , . , Kerberos , . , , - , , , . 30 , .

Kerberos 5 : , — . , , , , .

Kerberos 4 , , , . , . , , .

तो, यह ग्राहक को यह बताने की योजना है कि क्या उसका टिकट वैध है। वे बस इसे डिक्रिप्ट करने की कोशिश कर रहे हैं और देखें कि यह कैसे काम करता है। एक और दिलचस्प सवाल - दो बार टिकट में शामिल किसी रूप में यह कुंजी के.सी. क्यों है? यह मुख्य Kc, s के रूप में टिकट पर अलग से मौजूद होता है और टिकट में ही निहित है Tc, s। हमारे पास कुंजी केसी, एस की दो प्रतियां क्यों हैं?

27:10 मिनट।

एमआईटी पाठ्यक्रम "कंप्यूटर सिस्टम सुरक्षा"। व्याख्यान 13: नेटवर्क प्रोटोकॉल, भाग 2


पाठ्यक्रम का पूरा संस्करण यहां उपलब्ध है ।

हमारे साथ बने रहने के लिए धन्यवाद। क्या आप हमारे लेख पसंद करते हैं? अधिक दिलचस्प सामग्री देखना चाहते हैं? एक आदेश रखकर या अपने दोस्तों को इसकी अनुशंसा करके हमें समर्थन दें, एंट्री-लेवल सर्वरों के अनूठे एनालॉग पर हैबर उपयोगकर्ताओं के लिए 30% छूट जो हमने आपके लिए ईजाद की है: VPS (KVM) E5-2650 v4 (6 कोर) 10GB DDR4 240GB SSD 1Gbps से पूरा सच $ 20 या सर्वर को कैसे विभाजित करें? (विकल्प RAID1 और RAID10 के साथ उपलब्ध हैं, 24 कोर तक और 40GB DDR4 तक)।

VPS (KVM) E5-2650 v4 (6 करोड़) 10GB DDR4 240GB SSD 1Gbps दिसंबर तक मुफ्त में जब छह महीने की अवधि के लिए भुगतान करते हैं, तो आप यहां ऑर्डर कर सकते हैं ।

डेल R730xd 2 बार सस्ता? केवल हमारे पास 2 x Intel Dodeca-Core Xeon E5-2650v4 128GB DDR4 6x480GB SSD 1Gbps नीदरलैंड और यूएसए में $ 249 से 100 टीवी है ! इन्फ्रास्ट्रक्चर Bldg का निर्माण कैसे करें के बारे में पढ़ें । एक पैसा के लिए 9,000 यूरो की लागत डेल R730xd E5-2650 v4 सर्वर का उपयोग कर वर्ग?