एमआईटी पाठ्यक्रम "कंप्यूटर सिस्टम सुरक्षा"। व्याख्यान 13: नेटवर्क प्रोटोकॉल, भाग 2

मैसाचुसेट्स इंस्टीट्यूट ऑफ टेक्नोलॉजी। व्याख्यान पाठ्यक्रम # 6.858। "कंप्यूटर सिस्टम की सुरक्षा।" निकोलाई ज़ेल्डोविच, जेम्स मिकेंस। 2014 साल

कंप्यूटर सिस्टम सुरक्षा सुरक्षित कंप्यूटर सिस्टम के विकास और कार्यान्वयन पर एक कोर्स है। व्याख्यान खतरे के मॉडल को कवर करते हैं, हमले जो सुरक्षा से समझौता करते हैं, और हाल के वैज्ञानिक कार्यों के आधार पर सुरक्षा तकनीक। विषय में ऑपरेटिंग सिस्टम (OS) सुरक्षा, सुविधाएँ, सूचना प्रवाह प्रबंधन, भाषा सुरक्षा, नेटवर्क प्रोटोकॉल, हार्डवेयर सुरक्षा और वेब अनुप्रयोग सुरक्षा शामिल हैं।

व्याख्यान 1: "परिचय: खतरे के मॉडल" भाग 1 / भाग 2 / भाग 3
व्याख्यान 2: "हैकर हमलों का नियंत्रण" भाग 1 / भाग 2 / भाग 3
व्याख्यान 3: "बफर ओवरफ्लो: शोषण और संरक्षण" भाग 1 / भाग 2 / भाग 3
व्याख्यान 4: "पृथक्करण का पृथक्करण" भाग 1 / भाग 2 / भाग 3
व्याख्यान 5: "सुरक्षा प्रणालियाँ कहाँ से आती हैं?" भाग 1 / भाग 2
व्याख्यान 6: "अवसर" भाग 1 / भाग 2 / भाग 3
व्याख्यान 7: "मूल ग्राहक सैंडबॉक्स" भाग 1 / भाग 2 / भाग 3
व्याख्यान 8: "नेटवर्क सुरक्षा मॉडल" भाग 1 / भाग 2 / भाग 3
व्याख्यान 9: "वेब अनुप्रयोग सुरक्षा" भाग 1 / भाग 2 / भाग 3
व्याख्यान 10: "प्रतीकात्मक निष्पादन" भाग 1 / भाग 2 / भाग 3
व्याख्यान 11: "उर / वेब प्रोग्रामिंग भाषा" भाग 1 / भाग 2 / भाग 3
व्याख्यान 12: नेटवर्क सुरक्षा भाग 1 / भाग 2 / भाग 3
व्याख्यान 13: "नेटवर्क प्रोटोकॉल" भाग 1 / भाग 2 / भाग 3

छात्र: ग्राहक इस टिकट को डिक्रिप्ट नहीं कर सकता है क्योंकि यह सेवा कुंजी का उपयोग करके एन्क्रिप्ट किया गया है।

प्रोफेसर: हाँ, यह वास्तव में स्मार्ट है, है ना? हमारे पास कुंजी केसी है, जिसे ग्राहक प्राप्त कर सकता है, लेकिन यहां, टिकट टीसी पर, केएस के साथ एन्क्रिप्टेड इस कुंजी की एक और प्रति है।



ऐसा इसलिए किया जाता है क्योंकि कर्बेरोस सर्वर वास्तव में दूसरे व्यक्ति के साथ क्लाइंट के संचार को सुरक्षित करने की कोशिश कर रहा है। इसलिए, केर्बेरोस एक यादृच्छिक कुंजी केसी बनाता है, जो क्लाइंट को एक कॉपी देता है, और सर्वर को एक और जिसके साथ क्लाइंट बात करने वाला है। कल्पना करें कि केर्बरोस सिर्फ सेवा को शब्दों के साथ बुलाएगा: "हे, सेवा, यह आदमी आपसे बात करना चाहता है, यह इसके लिए महत्वपूर्ण है!" यह दुर्भाग्यपूर्ण होगा क्योंकि कर्बरोस सर्वर हर अनुरोध पर बार-बार सेवा का उपयोग करेगा। तो केडीएस सत्र कुंजी की 2 प्रतियां बनाता है: एक ग्राहक के लिए, और दूसरा टीजीएस के लिए।

इसलिए, इसके बजाय, डेवलपर्स एक अच्छी चाल के साथ आए, जहां वे क्लाइंट को इस टिकट के साथ प्रदान करते हैं, और वह सही सेवा के साथ संपर्क करने के अलावा उसके साथ कुछ भी नहीं कर सकता है। और अगर इस सेवा में Ks कुंजी सही है, तो वह इसे डिक्रिप्ट करेगी और कहेगी: "हाँ, यह वही कुंजी है जिसका उपयोग मुझे इस क्लाइंट के साथ बात करने के लिए करना चाहिए।" इस प्रकार, कनेक्शन में भाग लेने वाले, ग्राहक और सेवा, दोनों अपने कनेक्शन की सुरक्षा के लिए एक सामान्य कुंजी स्थापित करेंगे।

छात्र: तो टीजीएस क्या है?

प्रोफेसर: टीजीएस क्या है, इस पर दो विचार हैं। ग्राहक के दृष्टिकोण से, यह सिर्फ एक और सेवा है जिसके लिए आप टिकट प्राप्त कर सकते हैं। यह सेवा जितनी अधिक सुविधाएँ प्रदान करती है, उतने अधिक टिकट प्रदान करती है। यह वास्तव में एक टिकट सेवा है।

छात्र: क्षमा करें, मेरा मतलब था कि हमारे पास TGS नामक एक टिकट है।

प्रोफेसर: ओह, हाँ, क्षमा करें, इस आरेख में तीर के नीचे शिलालेख टीएस पूरे रिकॉर्डिंग ब्लॉक के लिए एक संक्षिप्त नाम है, पैरामीटर टीसी, एस में सूचकांक एस को छोड़कर, जिसका अर्थ है कि इस सेवा का वास्तविक नाम टीजीएस है। आप कल्पना कर सकते हैं कि हमारे पास एक केर्बरोस सर्वर है, यह टीजीएस सेवा है और एक वास्तविक सेवा है जिसे आप प्राप्त करना चाहते हैं। तो पहले आपको एक विशेष सेवा तक पहुंच प्राप्त करने के लिए आपको केर्बरोस को टिकट देने के लिए कहना होगा।



आप Kerberos से आपको फ़ाइल सर्वर पर सीधे टिकट देने के लिए कह सकते हैं, और यह काम कर सकता है। लेकिन इसके लिए आपको डिक्रिप्शन के लिए अपने Kc की आवश्यकता होगी और बाकी समय सर्वर का उपयोग करने के लिए। इसके बजाय, आपको विशेष TGS सेवा के लिए टिकट मिलता है। यह अन्य सेवाओं के समान दिखता है, सिवाय इसके कि इसे एक अलग बॉक्स में रखा गया है। और वह आपको अपने मूल केसी ग्राहक कुंजी को फिर से प्रदान किए बिना बाद में अधिक टिकट देने में प्रसन्न होगा।

स्टूडेंट: यानी उसका विचार यह है कि जैसे ही आप टीजीएस टिकट प्राप्त करते हैं, आप केवल अपनी केसी कुंजी से छुटकारा पा सकते हैं?

प्रोफेसर: हाँ, इस बारे में अच्छी बात यह है कि जैसे ही आप टीजीएस सेवा से यह टिकट टीसी प्राप्त करते हैं, आपको पासवर्ड और कुंजी केसी से छुटकारा मिल जाता है। इस प्रकार, जैसे ही आप एथेना कार्य केंद्र में प्रवेश करते हैं और कुछ सेकंड के बाद आपको टिकट टीयूवी प्राप्त होता है, एस, आपका पासवर्ड मेमोरी से हटा दिया जाता है। यहां तक ​​कि अगर कोई आपको पकड़ लेता है, तो कंप्यूटर का चयन करता है और उसके साथ भाग जाता है, वह सब आपके टिकट है। यह अच्छा है यदि वह आपकी जानकारी को 10 घंटे, या टिकट की अवधि के लिए एक्सेस कर सकता है, लेकिन अब नहीं, क्योंकि पासवर्ड सहेजा नहीं गया है और अगली बार जब आप एथेना में प्रवेश करते हैं, तो आपको इसे फिर से दर्ज करना होगा।

केवल एक बार जब आपको पासवर्ड की आवश्यकता होती है, तो जब आप करबरोस सर्वर को एक अनुरोध भेजते हैं, तो आपको एक टिकट के साथ यह प्रतिक्रिया मिलती है और इसे डिक्रिप्ट किया जाता है। उसके बाद, आप पासवर्ड के बारे में भूल सकते हैं। लेकिन निश्चित रूप से, आप डिक्रिप्ट का उपयोग करने से पहले पासवर्ड को नहीं छोड़ सकते।
इस प्रकार, हमारी योजना के पहले ऊपरी इंटरफ़ेस C का उपयोग प्रारंभिक कुंजी Kc के साथ टिकट प्राप्त करने के लिए किया जाता है, और दूसरे निचले इंटरफ़ेस S का उपयोग सेवाओं तक पहुँचने के लिए किया जाता है, लेकिन प्रारंभिक कुंजी Kc प्राप्त करने की आवश्यकता के बिना।



तो, हमने पहले से ही केर्बरोस प्रोटोकॉल की दो विशिष्ट समस्याओं के बारे में बात की है, जो हैं, जैसा कि इसमें बनाया गया था, जिससे बहुत असुविधा हुई। सबसे पहले, रचनाकारों ने माना कि एन्क्रिप्शन भी प्रमाणीकरण या संदेश अखंडता प्रदान करेगा, लेकिन ऐसा नहीं हुआ। यह दोष Kerberos संस्करण 5 में तय किया गया है, जहां स्पष्ट संदेश प्रमाणीकरण किया जाता है। दूसरे, मनमाने ग्राहकों के लिए, उन्हें अन्य लोगों के पासवर्ड का अनुमान लगाने का अवसर मिला।

यह कैसे तय किया जा सकता है? इस तरह के प्रोटोकॉल में पासवर्ड का अनुमान लगाकर हमलों को कैसे रोकें? हम क्या कोशिश कर सकते हैं?

छात्र: मुझे यकीन नहीं है, लेकिन आप पासवर्ड को "नमक" करने की कोशिश कर सकते हैं।

प्रोफेसर: “नमस्कार” का सीधा सा मतलब है कि ग्राहक को अलग-अलग तरीकों से पासवर्ड हैश करना पड़ सकता है। लेकिन यह इसे लेने की कोशिश करने के लिए चोट नहीं करता है। तो एक शब्दकोश बनाने के लिए यह अधिक महंगा हो सकता है।

छात्र: आप पासवर्ड की गणना के कार्य को जटिल बनाने का प्रयास कर सकते हैं।

प्रोफेसर: हाँ, एक और अच्छा विचार हैश प्रक्रिया को बहुत महंगा बनाना है। शायद यह वाजिब है। इसलिए, यदि यह हैश फ़ंक्शन कम्प्यूटेशनल समय की एक दूसरी लेता है, जैसा कि आप लोग दूसरी लैब में करते हैं, तो इस मामले में, पासवर्ड का चयन करना बहुत महंगा काम होगा। तो यह एक उचित योजना की तरह लगता है - "नमस्कार" के संयोजन का उपयोग करने और अनुमान लगाने की प्रक्रिया को जटिल करने के लिए।

एक और रक्षा प्रतिक्रिया को जटिल कर सकती है। आपने सुना है कि प्रोटोकॉल के पहले संस्करणों में, Kerberos सर्वर को यह पता नहीं था कि सही क्लाइंट इसे एक्सेस कर रहा है या नहीं। आप जो कर सकते हैं वह सबूत प्रदान करता है कि आप सही ग्राहक हैं, यानी पासवर्ड हैश के साथ वर्तमान टाइमस्टैम्प को एन्क्रिप्ट करें, या उसके बाद कुछ करें। तब केर्बरोस सर्वर केवल यह जांच सकता है कि क्या ये चीजें सही हैं, और यदि वे मेल खाते हैं, तो आपको टिकट प्रदान करते हैं।

आप शायद अधिक परीक्षण चरणों को जोड़ना नहीं चाहेंगे, लेकिन यह काम कर सकता है। अभी के लिए, मान लीजिए कि आप टाइमस्टैम्प ले सकते हैं और इसे कुंजी Kc के साथ हैश कर सकते हैं, और बस टाइमस्टैम्प भी जोड़ सकते हैं।



इस स्थिति में, सर्वर देख सकता है कि इसमें आपकी केसी कुंजी है और यह वर्तमान टाइमस्टैम्प को भी चला सकता है। यदि इसे समान मूल्य प्राप्त होता है, तो संभवतः अनुरोध सही उपयोगकर्ता द्वारा किया जाता है जिसे टिकट भेजा जा सकता है। यदि नहीं, तो यह गलत पासवर्ड था।

छात्र: आप केवल टिकट जारी करने को सीमित कर सकते हैं यदि सर्वर उनके प्रावधान के लिए बहुत अधिक अनुरोधों को रिकॉर्ड करते हैं।

प्रोफेसर: बिलकुल सही, हम एक प्रतिबंध लगा सकते हैं। हालांकि, हैकर के पास एक से अधिक बार सर्वर पर टिकट का अनुरोध करने का कोई कारण नहीं है। वह बस एक विशिष्ट उपयोगकर्ता के लिए पूछता है, उससे इस एन्क्रिप्टेड ब्लॉक को प्राप्त करता है और इसे ऑफ़लाइन रूप से डिक्रिप्ट करने की कोशिश कर सकता है जितनी बार वह चाहता है, एक दूसरे अनुरोध के बिना अलग-अलग पासवर्ड के साथ। इसलिए, मुझे लगता है कि सुरक्षा का पूरा बिंदु यह है कि सर्वर किसी भी तरह से कॉल की संख्या पर प्रतिक्रिया करता है यदि हमलावर बार-बार सर्वर से अनुरोध करता है, तो वह अलग-अलग पासवर्ड के तहत सिस्टम में प्रवेश करने की कोशिश कर रहा है। इस स्थिति में, क्वेरी सीमा तक पहुंचा जा सकता है, जो हैकिंग के खिलाफ बेहतर सुरक्षा प्रदान करेगा।

छात्र: एक हमलावर कर्बरोस सर्वर को अनुरोध कैसे भेज सकता है?

प्रोफेसर: मुझे लगता है कि वह सही उपयोगकर्ता के संदेश को पुन: पेश कर सकता है, अर्थात्, इसे देखें, इसे कॉपी करें, इसे भेजें और कर्बरोस सर्वर से भी प्रतिक्रिया प्राप्त करें। यदि कोई हैकर नेटवर्क को स्कैन करता है, तो वह ट्रांसमिशन के दौरान संदेश को रोक सकता है। इसलिए अनुरोधों की संख्या को सीमित करना एक अस्थायी उपाय है जो केवल सुरक्षा को थोड़ा बढ़ाता है। लेकिन, निश्चित रूप से, यदि आप किसी और के नेटवर्क को देख रहे हैं, तो आप देखेंगे कि यह पैकेट सर्वर से कैसे वापस किया जाता है, भले ही टीसी के गठन के चरण में क्या हुआ हो। इसलिए हैकर क्लाइंट के लिए सर्वर की प्रतिक्रिया देख सकता है और उस पर हमला करने की कोशिश कर सकता है।

संभवतः अधिक जटिल योजनाएं हैं जिन्हें आप विकसित कर सकते हैं, लेकिन मुझे नहीं लगता कि केर्बोस 5 हमारे द्वारा समीक्षा की गई योजना की तुलना में कुछ अधिक जटिल है, जो यादृच्छिक लोगों को कुछ तोड़ने या क्रूरता का उपयोग करने से रोकने के लिए काफी अच्छा लगता है- पासवर्ड क्रैक करने के लिए मजबूर करें।

छात्र: मान लीजिए कि आप साझा कुंजी स्थापित करने के लिए प्रमाणीकरण या कुछ और प्रदान कर सकते हैं। और फिर आप इस चीज़ और साझा की केसी के साथ एन्क्रिप्ट कर सकते हैं।

प्रोफेसर: हाँ, यह है। यदि आप वास्तव में इसे सही करते हैं, तो इसके लिए पासवर्ड प्रमाणीकरण कुंजी एक्सचेंज, PAKE नामक एक प्रोटोकॉल है, जो पासवर्ड प्रमाणीकरण करता है। ठीक ऐसा ही केरबरोस में होता है।



आप Google पर देख सकते हैं कि SRP या PAKE प्रोटोकॉल क्या हैं। ये प्रोटोकॉल और उनके संबद्ध तत्व आपके कार्य के साथ बहुत बेहतर करते हैं, जिसमें आपको दोनों पक्षों को साबित करना होगा कि आपने एक नई कुंजी स्थापित की है। इस मामले में, दोनों पक्षों को एक-दूसरे की शुद्धता के बारे में आश्वस्त होना चाहिए और यह कि इस पासवर्ड को ऑफ़लाइन अनुमान लगाने और नेटवर्क पैकेट के सेट पर हमला करने का कोई तरीका नहीं है जो आप देख रहे हैं, और इसी तरह।

ये प्रोटोकॉल हैं जो क्रिप्टोग्राफी पर बहुत निर्भर करते हैं, इसलिए बोर्ड पर यह समझाना मुश्किल है कि वे क्यों काम करते हैं।

छात्र: डेवलपर्स ने ऐसा इसलिए किया क्योंकि वे केवल एक पासवर्ड भेजने की क्षमता का समर्थन करना चाहते थे। और प्रोटोकॉल सिर्फ आपको एक प्रमाणिक के रूप में केवल एक चीज भेजने देते हैं।

प्रोफेसर: हाँ, कई अजीब आवश्यकताएं हैं जिन्हें इन लोगों ने ध्यान में रखा। बेशक, व्यवहार में, ये सर्वर कर्बेरोस और गैर-केर्बरोस कनेक्शन दोनों को स्वीकार कर सकते हैं। और गैर-केर्बरोस कनेक्शन के लिए, आपको तस्वीर मिलती है जैसे कि कोई मेल सर्वर से कनेक्ट हो रहा है लेकिन एथेना वर्कस्टेशन का उपयोग नहीं कर रहा है। वह सिर्फ अपना पासवर्ड भेजना चाहता है।



और फिर यहाँ ईमेल क्लाइंट, मान लें कि यह पासवर्ड लेने जा रहा है और इसे सत्यापित करने के लिए आपकी ओर से केवल एक टिकट मिलेगा, जो आपको इस ईमेल क्लाइंट का उपयोग करने की अनुमति देगा। तो आप शायद अभी भी Kerberos पासवर्ड Kerberos को सत्यापित करना चाहते हैं। मुझे नहीं लगता कि यह इस सवाल से बाहर है क्योंकि निश्चित रूप से केर्बरोस 5 इस टाइमस्टैम्प हैश और सभी को दर्शाता है।

मुझे लगता है कि एक और चीज जो आपको व्याख्यान सामग्री में ध्यान देनी चाहिए वह यह है कि केर्बोस 4 डेवलपर्स ने एक एन्क्रिप्शन स्कीम को चुना - डीएस, उस समय का सबसे लोकप्रिय एन्क्रिप्शन एल्गोरिदम। यह बहुत तेजी से एक सममित ब्लॉक सिफर है। उस समय, इसने पर्याप्त सुरक्षा प्रदान की, और उन्होंने बस इसे प्रोटोकॉल में बनाया।

केर्बेरोस में सब कुछ केवल डेस का उपयोग करने वाला था, या कम से कम सब कुछ केर्बरोस संस्करण 4 में। यह समस्याग्रस्त हो गया है, क्योंकि अब 25-30 साल बाद, डीईएस एन्क्रिप्शन आसानी से जानवर-बल विधि का उपयोग करके आसानी से टूटने योग्य है, क्योंकि एन्क्रिप्शन कुंजी है बहुत छोटा आकार - केवल 56 बिट्स।

इसलिए, आप बस कुछ प्रकार के उपयोगकर्ता उपकरण बना सकते हैं जो संयोजन के 2 से 56 डिग्री की गणना करेंगे और वास्तविक पासवर्ड का पता लगाएंगे। यह वही है जो आप आजकल विकसित होने वाले किसी भी प्रोटोकॉल से बचना चाहते हैं।

कर्बरोस संस्करण 5 एईएस और अन्य क्रिप्टोग्राफिक एल्गोरिदम सहित कई अलग-अलग एन्क्रिप्शन योजनाओं का समर्थन करता है। इसलिए यह सुरक्षा सुनिश्चित करने का एक बेहतर तरीका है। दूसरी ओर, एमआईटी ने 2 साल पहले डीईएस का समर्थन करना जारी रखा, लेकिन अब इसे मना कर दिया है, इसलिए आज आपका रेक्टर संरक्षित है, कम से कम इस प्रकार के हमले से। अब देखते हैं कि टीजीएस सेवा में क्या होता है जिससे आपको टिकट मिलता है। इस सेवा के साथ सहभागिता थोड़ी अलग दिखती है।

एक तरफ, एक ग्राहक के रूप में, आप उससे बात करने जा रहे हैं जैसे कि आप किसी अन्य केर्बरोस-सक्षम सेवा से बात कर रहे थे। विचार करें कि आप किसी मशीन से टिकट के साथ अपना प्रमाणीकरण कैसे करते हैं। लेकिन आप जो जवाब देने जा रहे हैं, वह किसी अन्य सिद्धांत के लिए एक टिकट है, जिसके आधार पर आप संवाद करेंगे, उदाहरण के लिए, फ़ाइल सर्वर के साथ।

इसलिए, प्रोटोकॉल स्तर के संदेश इस तरह दिखाई देंगे - दाईं ओर मैं टीजीएस आकर्षित करेगा, और बाईं तरफ - क्लाइंट। क्लाइंट के पास पहले से ही दिखाए गए प्रोटोकॉल का उपयोग करके प्राप्त TGS के लिए एक टिकट है।



अब ग्राहक संदेशों के कुछ संयोजन भेजने जा रहा है जो साबित करता है कि वह सही ग्राहक है, और ये संदेश TGS के माध्यम से एक विशिष्ट सिद्धांत पर एक अनुरोध जारी करने से संबंधित हैं।

इसलिए, ग्राहक TGS को ऐसा संदेश भेजने जा रहा है: S वह सेवा है जिसके साथ वह आगे संवाद करने जा रहा है, यह एक मेल या फ़ाइल सर्वर हो सकता है, फिर इसमें Tc क्लाइंट टिकट शामिल है जो उसे tgs के लिए प्राप्त हुआ, कुंजी K tgs और का उपयोग करके एन्क्रिप्ट किया गया एक प्रमाणीकरणकर्ता जिसे कुंजी Kc के साथ एन्क्रिप्ट किया गया है, क्लाइंट और TGS सेवा के लिए सामान्य है। यह वह संदेश है जो आप टीजीएस को भेजने जा रहे हैं, ऐसा दिखता है - यह कहता है: "इस संदेश को देखें, इसके साथ कुछ करें और इस नई एस सेवा के लिए टिकट के साथ उत्तर दें।" यहां जवाब लगभग ऊपर की आकृति के समान है, और वास्तव में यह समान है - यह ग्राहक और इस नई सेवा के बीच एक टिकट है, जिसे केएस का उपयोग करके एन्क्रिप्ट किया गया है। लेकिन अब यह थोड़ा अलग हो गया है।



केसी कुंजी के साथ एन्क्रिप्शन के बजाय, जिसे क्लाइंट तब से भूल गया होगा, अब एन्क्रिप्शन को सामान्य कुंजी केसी, क्लाइंट और टीजीएस सेवा के बीच टीजीएस का उपयोग करके किया जाता है।

सर्वर कैसे पता लगाता है कि क्लाइंट क्या चाहता है और सर्वर क्लाइंट को कैसे प्रमाणित करता है? TGS सर्वर अपनी खुद की Ktgs कुंजी जानता है, इसलिए सबसे पहले यह इस संदेश को डिक्रिप्ट करने जा रहा है Tc, tgs, टिकट के अंदर देखें और जानें कि क्या होता है। हमें टिकट पर इन सभी क्षेत्रों की आवश्यकता क्यों है? टिकट में सर्वर नाम S होना क्यों महत्वपूर्ण है? अगर हमारे पास S नहीं है तो क्या गलत होगा?

छात्र: यदि ऐसा नहीं था, तो आप संभावित रूप से किसी भी सर्वर का उपयोग करने की अनुमति प्राप्त कर सकते हैं।

प्रोफेसर: हाँ, यह है। सामान्य तौर पर, यह नेटवर्क प्रोटोकॉल बनाने के लिए एक अच्छा विचार है ताकि आप यह कह सकें कि इस संदेश का वास्तव में क्या मतलब है। यदि आप S को छोड़ देते हैं, तो आप इस तथ्य पर भरोसा कर सकते हैं कि यदि आप गलत S के लिए टिकट का उपयोग करते हैं, तो हो सकता है कि आपके पास एक और कुंजी Ks होगी और यह डिक्रिप्शन या ऐसा कुछ करने में सक्षम नहीं होगा। इसलिए यह सुनिश्चित करने के लिए सेवा का नाम शामिल करना एक अच्छा विचार है कि यह सुनिश्चित करने के लिए कि इन टिकटों को प्राप्त करने वाला सर्वर उन्हें डिक्रिप्ट करता है और जांचता है कि यह मेरे लिए टिकट है या किसी और के लिए?

छात्र: ग्राहक प्राप्त Ktgs कुंजी के साथ क्या करता है?

प्रोफेसर: अच्छा सवाल! क्लाइंट को पता नहीं है कि यह क्या है। क्योंकि यह एक शीर्ष गुप्त कुंजी है। यदि आप यह जानते थे, तो आप सभी केर्बेरोस को क्रैक कर पाएंगे। तो ग्राहक को पता नहीं है कि Ktgs क्या है।

छात्र: यह केटीजीएस कहां से आता है?

प्रोफेसर: कर्बेरोस सर्वर स्वयं आपके लिए यह सब संदेश उत्पन्न करता है, जिसमें पहले से ही Tc, tgs और Ktgs हैं, आप इसे स्वयं नहीं बनाते हैं, लेकिन बस इसे यहाँ से कॉपी कर सकते हैं।

तो ग्राहक का नाम इतना महत्वपूर्ण क्यों है? यह पता लगाना आसान है। यदि आप ग्राहक का नाम टिकट पर नहीं डालते हैं, तो सर्वर को यह संदेश मिलता है, लेकिन उसे पता नहीं है कि वह किससे बात करना चाह रहा है। वह नहीं जानता कि वह किसके लिए टिकट जारी करे - आपके लिए या किसी और के लिए।

अन्य क्षेत्रों के बारे में क्या? डेवलपर्स Tc, s के टिकट पर Addr पता क्यों डालते हैं? यह सिर्फ ग्राहक का आईपी पता है, तो सीधे इसका उपयोग क्यों न करें?



मुझे लगता है कि इस समाधान का अर्थ सुरक्षा बढ़ाने के लिए डेवलपर्स की इच्छा है। वे यह सुनिश्चित करना चाहते थे कि यदि ग्राहक कुछ आईपी पते से लॉग इन करता है, तो उसी टिकट पर बाकी सभी चीजें समान आईपी पते से आती हैं। उदाहरण के लिए, यदि आप कुछ आईपी पते से लॉग इन हैं, उदाहरण के लिए 18.26.4.9, तो फ़ाइल या मेल सर्वर का प्रत्येक कनेक्शन समान आईपी पते से होना चाहिए। अन्यथा, सर्वर को आपके कनेक्शन को अस्वीकार कर देना चाहिए, क्योंकि यह सुझाव दे सकता है कि किसी ने आपका टिकट चुरा लिया है। इस प्रकार, हम चोरी के टिकटों के उपयोग के खिलाफ यहां अपनी रक्षा करते हैं। यदि आपके पास अभी भी एक ही टिकट है - ठीक है, लेकिन यदि आप एक ही आईपी पते का उपयोग नहीं करते हैं, तो आप सफल नहीं हुए हैं।

यह अभी एक गलत धारणा की तरह लगता है, और केर्बरोस 5 अभी भी एक समान दृष्टिकोण का उपयोग करता है, हालांकि यह आवश्यक नहीं है। वास्तव में, आपको आईपी पते को सुरक्षित करने के बजाय केवल क्रिप्टोग्राफी पर निर्भर होना चाहिए।

लेकिन टिकट में टाइमस्टैम्प और लाइफ टाइम स्टैम्प का मतलब क्या है? वे किस लिए हैं और वे किसके लिए उपयोगी हैं?

छात्र: रिप्ले हमलों को रोकने के लिए उनकी आवश्यकता होती है।
प्रोफेसर: रिप्ले हमलों से प्रमाणिकता को रोकने में मदद मिलती है, क्योंकि यह बात हर बार जब आप एक नया अनुरोध करते हैं तो उत्पन्न होता है। लेकिन दूसरी ओर, टिकट एक समान रहता है, इसलिए यह, ज़ाहिर है, रिप्ले हमलों के साथ हस्तक्षेप नहीं करता है।

छात्र: यह किसी को आपके टिकट को चोरी करने और फिर अपने स्वयं के प्रयोजनों के लिए उपयोग करने से रोकता है।
प्रोफेसर: हाँ, यह केवल उस समय को सीमित करता है जिसके दौरान टिकट वैध है, ताकि इसके चोरी से नुकसान कम हो। टाइमस्टैम्प वह समय होता है जब आप टिकट प्राप्त करते हैं, और जीवनकाल दिखाता है कि शुरुआती टाइमस्टैम्प से यह टिकट कितने घंटे के लिए वैध है। इसलिए, यदि आप इसे बहुत जल्द या बहुत देर से उपयोग करने का प्रयास करते हैं, तो किसी भी सर्वर को करबरोस प्रोटोकॉल का उपयोग करके इस तरह के टिकट को अस्वीकार करना होगा। इसका मतलब है कि प्रत्येक सर्वर को अपनी घड़ी को सिंक्रनाइज़ करना होगा।

छात्र: आपने पहले कहा था कि एक ग्राहक अपनी प्रारंभिक कुंजी को फेंक सकता है, केसी को त्याग सकता है, लेकिन टीजीएस से प्राप्त केसी को स्टोर करना होगा।

प्रोफेसर: हाँ, यह है, क्लाइंट लॉग इन करने के बाद केसी छोड़ देता है, लेकिन केसी, एस रखना चाहिए।

स्टूडेंट: तो, अगर कोई केसी चोरी करता है, तो उसकी पहुंच ...

: , , ? , Kc,tgs, K?

: K,s, , K, .



: . , Kc,s — , , . , Tc,tgs, . , 56 Kc,s. . , Tc,tgs , Kc,s , - .

: , - — Tc,tgs, Kc,tgs, Kc,tgs, Kc — .

: , - , , , , 10 . Kc , .

, , , IP-, . - , , Kc,tgs, TGS. — , , , .

, , , . , , . TGS , , PO12, TGS PO12. , , Kc,s . , , . Kc,s.



, , Tc,mail, Kmail, , , , 5 – DELETE 5, Kc,mail.



, mail? Kmail, - , , Kc,s, Kerberos 5. : «, C , ».

: Kerberos Tc,tgs Kc,s. ?

: Ac . , Kc,s, , . , .



, Kerberos 4 , , , , , , , .

, , , , . , . , , . , , , , . , .
. Kerberos, , , Kerberos 4. , - .

, , , , , Kerberos 4, , , K,mail. , .



, , . , , . - : «, , DELETE 5, - ».

, Kerberos 5 -, . , , , , , .

: K,mail?

: .



, TGS , , S – mail, S Tc,s – mail, S Kc,s — mail. Kc,s K,mail. , .

: K,mail?

: , ? , , . K,mail ?

: ?

: , , ! Kmail, T,mail, , . , , .

, . . Kerberos , , 30 .
, , . , Kerberos 4 . , .

54:00

MIT « ». 13: « », 3


.

हमारे साथ बने रहने के लिए धन्यवाद। क्या आप हमारे लेख पसंद करते हैं? अधिक दिलचस्प सामग्री देखना चाहते हैं? एक आदेश रखकर या अपने दोस्तों को इसकी अनुशंसा करके हमें समर्थन दें, एंट्री-लेवल सर्वरों के अनूठे एनालॉग पर हैबर उपयोगकर्ताओं के लिए 30% छूट जो हमने आपके लिए ईजाद की है: VPS (KVM) E5-2650 v4 (6 कोर) 10GB DDR4 240GB SSD 1Gbps से पूरा सच $ 20 या सर्वर को कैसे विभाजित करें? (विकल्प RAID1 और RAID10 के साथ उपलब्ध हैं, 24 कोर तक और 40GB DDR4 तक)।

VPS (KVM) E5-2650 v4 (6 करोड़) 10GB DDR4 240GB SSD 1Gbps दिसंबर तक मुफ्त में जब छह महीने की अवधि के लिए भुगतान करते हैं, तो आप यहां ऑर्डर कर सकते हैं ।

डेल R730xd 2 बार सस्ता? केवल हमारे पास 2 x Intel Dodeca-Core Xeon E5-2650v4 128GB DDR4 6x480GB SSD 1Gbps नीदरलैंड और यूएसए में $ 249 से 100 टीवी है ! इन्फ्रास्ट्रक्चर Bldg का निर्माण कैसे करें के बारे में पढ़ें । एक पैसा के लिए 9,000 यूरो की लागत डेल R730xd E5-2650 v4 सर्वर का उपयोग कर वर्ग?