एमआईटी पाठ्यक्रम "कंप्यूटर सिस्टम सुरक्षा"। व्याख्यान 13: नेटवर्क प्रोटोकॉल, भाग 3

मैसाचुसेट्स इंस्टीट्यूट ऑफ टेक्नोलॉजी। व्याख्यान पाठ्यक्रम # 6.858। "कंप्यूटर सिस्टम की सुरक्षा।" निकोलाई ज़ेल्डोविच, जेम्स मिकेंस। 2014 साल

कंप्यूटर सिस्टम सुरक्षा सुरक्षित कंप्यूटर सिस्टम के विकास और कार्यान्वयन पर एक कोर्स है। व्याख्यान खतरे के मॉडल को कवर करते हैं, हमले जो सुरक्षा से समझौता करते हैं, और हाल के वैज्ञानिक कार्यों के आधार पर सुरक्षा तकनीक। विषय में ऑपरेटिंग सिस्टम (OS) सुरक्षा, सुविधाएँ, सूचना प्रवाह प्रबंधन, भाषा सुरक्षा, नेटवर्क प्रोटोकॉल, हार्डवेयर सुरक्षा और वेब अनुप्रयोग सुरक्षा शामिल हैं।

व्याख्यान 1: "परिचय: खतरे के मॉडल" भाग 1 / भाग 2 / भाग 3
व्याख्यान 2: "हैकर हमलों का नियंत्रण" भाग 1 / भाग 2 / भाग 3
व्याख्यान 3: "बफर ओवरफ्लो: शोषण और संरक्षण" भाग 1 / भाग 2 / भाग 3
व्याख्यान 4: "पृथक्करण का पृथक्करण" भाग 1 / भाग 2 / भाग 3
व्याख्यान 5: "सुरक्षा प्रणालियाँ कहाँ से आती हैं?" भाग 1 / भाग 2
व्याख्यान 6: "अवसर" भाग 1 / भाग 2 / भाग 3
व्याख्यान 7: "मूल ग्राहक सैंडबॉक्स" भाग 1 / भाग 2 / भाग 3
व्याख्यान 8: "नेटवर्क सुरक्षा मॉडल" भाग 1 / भाग 2 / भाग 3
व्याख्यान 9: "वेब अनुप्रयोग सुरक्षा" भाग 1 / भाग 2 / भाग 3
व्याख्यान 10: "प्रतीकात्मक निष्पादन" भाग 1 / भाग 2 / भाग 3
व्याख्यान 11: "उर / वेब प्रोग्रामिंग भाषा" भाग 1 / भाग 2 / भाग 3
व्याख्यान 12: नेटवर्क सुरक्षा भाग 1 / भाग 2 / भाग 3
व्याख्यान 13: "नेटवर्क प्रोटोकॉल" भाग 1 / भाग 2 / भाग 3

मान लीजिए कि एक ग्राहक एक विशिष्ट संदेश प्राप्त करने के लिए एक अनुरोध जारी करता है, उदाहरण के लिए, "मुझे संदेश संख्या 7 दें," और कुंजी केसी, मेल के साथ इस चीज को एन्क्रिप्ट करें। सब कुछ अद्भुत लगने लगा है।
मेल सर्वर के पास एक साझा कुंजी है जो इस संदेश को डिक्रिप्ट करेगी, जिसके बाद सर्वर क्लाइंट को इस ईमेल संदेश के शरीर को वापस भेज देगा, जिसे केसी, मेल के साथ भी एन्क्रिप्ट किया गया है। क्या कोई इसे एक समस्या के रूप में देखता है? यह बुरा क्यों हो सकता है?



छात्र: एक संभावना है जब कोई हैकर किसी संदेश को बदल सकता है या उसे नकली बना सकता है।

प्रोफेसर: हां, यह परेशान कर रहा है क्योंकि मैं आपको कोई भी ईमेल भेज सकता हूं जो मुझे चाहिए। मान लीजिए, मेरा इरादा आपके इनबॉक्स में मौजूद कुछ संदेश को हटाने का है क्योंकि मैं नहीं चाहता कि आप इसे पढ़ें। मान लीजिए कि यह पत्र 23 वें नंबर पर है।

इसलिए, मैं आपको एक पत्र भेजने जा रहा हूं जो कहता है: "नंबर 23 हटाएं", और आप इसे पढ़ने जा रहे हैं। आप इसे प्राप्त करने जा रहे हैं, और मेल सर्वर से आने वाले उत्तर को "डिलीट नंबर 23" के साथ इस कुंजी केसी, मेल के साथ एन्क्रिप्ट किया जाएगा। और अभी तक इसे मेल सर्वर को नहीं भेजा गया है।

लेकिन अगर मैं सही समय पर नेटवर्क को स्कैन करता हूं और इस पैकेट को कमिट करता हूं, तो मैं इसे वापस मेल सर्वर को भेज सकता हूं। यह कुंजी का उपयोग करके एन्क्रिप्टेड "डिलीट नंबर 23" संदेश की तरह दिखेगा। इस मामले में, मेल सर्वर कहेगा: "ओह हाँ, बेशक, आप इस संदेश को हटाना चाहते हैं, और मैं इसे करूँगा!"

इसलिए यहाँ एक समस्या है क्योंकि हम विरोधी को मेल सर्वर को भ्रमित करने की अनुमति देते हैं कि क्या हमारा संदेश उसके द्वारा उत्पन्न किया गया था या पहली बार में उसे भेजा गया था।

यह वह है जिसे आमतौर पर क्रिप्टोग्राफी और प्रोटोकॉल विवरण में "प्रतिबिंब हमले" के रूप में संदर्भित किया जाता है। क्या आपके पास इस समस्या से बचने के बारे में कोई सुझाव है?

छात्र: क्या केवल एक संदेश शीर्षक शामिल करना संभव है जो इसके मूल की बात करता है?

प्रोफेसर: हाँ, एक नियम के रूप में, आप चाहते हैं कि जो कुछ भी हो रहा है, उसे स्पष्ट करने के लिए किसी तरह का अस्पष्ट तरीका हो। एक तरीका यह है कि प्रत्येक संदेश में एक हेडर हो जो कहता है: "क्लाइंट से सर्वर तक" या "सर्वर से क्लाइंट तक"। अभ्यास में एक बेहतर तरीका बस दो अलग-अलग कुंजी का उपयोग करना है।

क्योंकि आप एक लंबी डेटा स्ट्रीम चाहते हैं, जिसमें हेडर बिट्स के लिए जगह न हो। इस प्रकार, हर बार जब आप किसी सेवा के साथ संबंध स्थापित करते हैं, तो केर्बरोस 5 एक के बजाय दो कुंजी के उपयोग के लिए बातचीत करता है। पहली कुंजी का उपयोग क्लाइंट से सर्वर में डेटा एन्क्रिप्ट करने के लिए किया जाएगा, और दूसरा सर्वर से डेटा को क्लाइंट में एन्क्रिप्ट करने के लिए किया जाएगा। व्यावहारिक उपयोग के लिए यह सबसे इष्टतम सुरक्षा विधि है।

अब बात करते हैं कि केडीसी के साथ क्या हो रहा है। Kerberos सर्वर सिस्टम के लिए बहुत महत्वपूर्ण है, लेकिन अगर यह KDC क्रैश हो जाए तो क्या होगा? यह हमारे सिस्टम के लिए कितना बुरा है? यदि आप एथेना का उपयोग करते हैं तो केडीसी का "पतन" आपके जीवन को कैसे प्रभावित करेगा?

छात्र: आप शायद लॉग इन नहीं कर सकते हैं?

प्रोफेसर: हाँ, यह है। दूसरे, आप नए अनुरोधों के लिए टिकट प्राप्त करने में भी सक्षम नहीं होंगे। लेकिन अच्छी बात यह है कि केडीसी मौजूदा कनेक्शन के लिए महत्वपूर्ण पथ से काफी बाहर है। इसलिए, कोई डेटा केडीसी से नहीं गुजरता है। और अगर आपके पास पहले से ही किसी चीज के लिए टिकट है, तो आप इसका उपयोग करना जारी रख सकते हैं और कुछ नेटवर्क सेवाओं के लिए प्रवेश द्वार रख सकते हैं। यह वास्तव में बहुत अच्छी तरह से कैश्ड है। मुझे लगता है कि दूसरी अच्छी बात यह है कि डेवलपर्स ने कल्पना की है कि केडीसी को दोहराने की क्षमता है। इसलिए, सिस्टम में एक मुख्य Kerberos सर्वर है, जो पूरे डेटाबेस की प्रारंभिक प्रतिलिपि संग्रहीत करता है। यह आपको केवल प्रतिकृतियां पढ़ने की अनुमति देता है जिसमें प्रारंभिक डेटाबेस की एक प्रति होती है। यह किसी भी अपडेट की अनुमति नहीं देता है, जैसे उपयोगकर्ता पंजीकरण या मुख्य अपडेट, लेकिन आपको लॉगिन और टीजीएस अनुरोधों का जवाब देने की अनुमति देता है।

इस प्रकार, केर्बरोस डेटाबेस "क्लोन" रिकॉर्ड आपको लॉग इन करने और सेवाओं के साथ संवाद करने की अनुमति देता है, भले ही केडीसी विफल हो, जब तक कि इसे समाप्त नहीं किया जाता है और इसकी पूर्ण कार्यक्षमता बहाल हो जाती है।

छात्र: केडीसी सर्वर और सिस्टम को समग्र रूप से समझना कितना मुश्किल है?

प्रोफेसर: केडीसी किसी भी प्रणाली की रीढ़ है जो केर्बेरस चलाता है। यदि इस सेवा से समझौता किया जाता है, तो हमलावर सिस्टम पर पूर्ण नियंत्रण हासिल कर लेगा। वह किसी भी सेवा के लिए टिकट प्राप्त करने में सक्षम हो जाएगा, आप सही ग्राहक होने का नाटक कर रहे हैं, इसलिए यह बहुत बुरा है। हम वास्तव में केडीसी को सुरक्षित रखना चाहते हैं, लेकिन यह कठिन है। हालांकि मुझे एक भी मामले की जानकारी नहीं है जहां केडीसी एमआईटी ने लगभग 20 वर्षों के लिए समझौता किया होगा। लेकिन, जाहिर तौर पर, इन दोनों सेवाओं के आदान-प्रदान, केर्बरोस और टीजीएस की चीजों की सुरक्षा का सॉफ्टवेयर कार्यान्वयन वास्तव में चिंता का विषय है। क्योंकि अगर उनमें एक बफर अतिप्रवाह होता है या कुछ अन्य समान भेद्यता उत्पन्न होती है, तो यह वास्तव में खराब है।



उदाहरण के लिए, यदि कोई SSH सर्वर KDC Kerberos पर चल रहा है और कोई व्यक्ति इस SSH सर्वर के रूट पासवर्ड का अनुमान लगाता है, तो यह बस डेटाबेस को लॉग इन और कॉपी करेगा। इसलिए मुझे लगता है कि आप वास्तव में यहां हमले की सतह को कम करना चाहते हैं, इसलिए केडीसी कोड लिखते समय बहुत सावधान रहें। किसी को भी सीधे इस सेवा का उपयोग न करने दें। बेशक, कुछ स्थान हैं जिनके लिए आपको सुरक्षा के बारे में पागल माना जाना चाहिए, लेकिन सर्वरों के लिए यह इतना महत्वपूर्ण नहीं है। बेशक, वे डेटा संग्रहीत करते हैं, लेकिन अगर कोई मेल सर्वर या प्रिंट सर्वर में टूट जाता है, तो उन्हें पुनर्स्थापित किया जा सकता है।

यहां एक दिलचस्प सवाल है। मान लीजिए किसी ने मेल सर्वर को हैक कर लिया। इस हमले से उबरने के लिए आपको क्या करना चाहिए? उदाहरण के लिए, यदि कोई आपका मेल चुराता है, तो यह बुरा है। लेकिन भविष्य में किसी हमलावर को आपके मेल तक पहुंचने से रोकने के लिए क्या किया जाना चाहिए?

कर्बेरोस में एक रद्दीकरण ऑपरेशन नहीं होता है, लेकिन आप मेल सर्वर के लिए एक नई कुंजी उत्पन्न कर सकते हैं और इसे केडीसी डेटाबेस में पेस्ट कर सकते हैं। फिर आप एक नया मेल सर्वर स्थापित करते हैं, इसे एक नई कुंजी देते हैं, और फिर कुछ हमलावर जिनके पास मेल सर्वर से पुरानी कुंजी होती है, वे इसे किसी भी तरह से प्रभावित नहीं कर सकते हैं।

दूसरी ओर, मान लीजिए कि आप मेल सर्वर, कीसेल की कुंजी नहीं बदलते हैं। इससे क्या होगा?



छात्र: कुंजी नए सर्वर पर फिट नहीं होगी।

प्रोफेसर: अच्छा, मान लीजिए कि आपने एक नया मेल सर्वर स्थापित किया है, जो हैकर द्वारा उपयोग की गई त्रुटि को ठीक करता है। लेकिन उसके पास अभी भी एक Kmail कुंजी है। शायद सर्वर रिकवरी में पूरा दिन लग गया, जिससे सभी टिकट समाप्त हो गए। क्या यह हैकर सिस्टम के साथ कुछ दिलचस्प कर सकता है? यदि आप नए मेल सर्वर को पुराना Kmail प्रदान करते हैं - क्या यह बुरा है?

छात्र: एक हमलावर मेल सर्वर में घुसपैठ कर सकता है क्योंकि वह पहले टिकट को डिक्रिप्ट कर सकता है।

प्रोफेसर: निश्चित रूप से, इसीलिए Kmail वास्तव में बहुत महत्वपूर्ण है। आप कहते हैं कि आप मेल सर्वर पर होने वाली हर चीज़ को डिक्रिप्ट कर सकते हैं। माना कि क्लाइंट मेल सर्वर से जुड़ने के बाद उसे ठीक करता है, लेकिन हमलावर अभी भी किंगल को जानता है, जो सिस्टम की आखिरी हैकिंग के बाद से बना हुआ है। इसलिए, वह इस Kmail टिकट को डिक्रिप्ट कर सकता है, टिकट के अंदर देख सकता है और एक सत्र कुंजी प्राप्त कर सकता है। इसके साथ, वह आपके द्वारा भेजे गए सभी संदेशों, आपके द्वारा प्राप्त सभी उत्तरों, और इसी तरह से डिक्रिप्ट कर सकेगा। इसलिए, मेल सर्वर को पुनर्स्थापित करने के बाद, इस Kmail को बदलना बहुत महत्वपूर्ण है।

कई मायनों में, यह केवल ट्रैफ़िक को ट्रैक करने से भी बदतर है, क्योंकि अगर कोई हमलावर इस Kmail कुंजी को जानता है, तो वह KDC से संपर्क किए बिना मेल सर्वर के लिए नए टिकट को संश्लेषित कर सकता है। मान लीजिए कि मैं Kmail को जानता हूं और मेल सर्वर से मेल पढ़ना चाहता हूं। मैं इस टिकट को जारी करूंगा, मैं इन सभी पांच क्षेत्रों को सही क्रम में इकट्ठा करूंगा, एक नई कुंजी उत्पन्न करूंगा और इसे Kmail का उपयोग करके एन्क्रिप्ट करूंगा। यह केडीसी द्वारा उत्पन्न वास्तविक चीज की तरह दिखेगा।

इसलिए, मैं सिर्फ मेल सर्वर से जुड़ता हूं, यह संदेश को सही ढंग से डिक्रिप्ट करेगा और सोचता है कि यह एक विशिष्ट उपयोगकर्ता है, ताकि आप इसे मेल के साथ प्रदान कर सकें, इसके साथ एक साझा कुंजी साझा करें, और इसी तरह। इसलिए, यह महत्वपूर्ण है कि कोई भी इस सेवा की गुप्त कुंजी को नहीं पहचानता है, क्योंकि अन्यथा आप न केवल यातायात को डिक्रिप्टेबल और दृश्यमान बना सकते हैं, बल्कि इस सेवा में किसी का भी अनुकरण कर सकते हैं।

छात्र: यदि विफलता के बाद मेल सर्वर को बहाल किया जाता है, तो संभवतः आपको डेटाबेस में इसकी कुंजी बदलने की आवश्यकता है?

प्रोफेसर: हाँ, विफलता के बाद मेल सर्वर को पुनर्स्थापित करने के बाद, आपको उस व्यक्ति को कॉल करने की आवश्यकता है जो इस KDC के साथ काम करता है और कहता है: "हमारे मेल सर्वर को हैक कर लिया गया था, इसलिए डेटाबेस से इसकी पुरानी Ks कुंजी को हटा दें और एक नया डालें!" तो आप शायद यह साबित करने के लिए डेटाबेस के बाहर किसी तरह का तंत्र रखना चाहेंगे कि आप वास्तव में एक मेल सर्वर हैं।

क्योंकि हम एक दूसरे में देखेंगे कि आप किस तरह से चाबियाँ बदलते हैं, उदाहरण के लिए, पासवर्ड परिवर्तन प्रोटोकॉल का उपयोग करते हुए। आप करबरोस प्रोटोकॉल में पासवर्ड डाल सकते हैं, क्योंकि यदि आप पुराने पासवर्ड को जानते हैं, तो आप उपयोगकर्ता पासवर्ड को केडीसी में नए पासवर्ड में बदल सकते हैं। लेकिन चूंकि हैकर मेल द्वारा भेजे गए पासवर्ड को बाधित कर सकता है, इसलिए आपको शायद खाता पंजीकरण कार्यालय से संपर्क करना होगा और उन्हें अपना पासवर्ड मेल सर्वर में बदलने के लिए कहना होगा। वे एक नई कुंजी उत्पन्न करेंगे और इसे आपको देंगे ताकि हैकर इसे पहचान न सके।



अन्यथा, यदि हमलावर इस Kmail कुंजी को जानता है, तो मेल सर्वर के पास सही क्लाइंट से हमलावर को अलग करने के लिए कुछ भी नहीं है। वास्तव में, हमलावर ने शायद चाबी बदल दी है, इसलिए अब वे नए मापदंडों को जानते हैं, और आप वहां नहीं हैं, जैसे कि आप मेल सर्वर पर नहीं हैं। इसलिए आपको डेटाबेस में प्रारंभिक पंजीकरण के सिद्धांतों के लिए और यदि आप अपना पासवर्ड भूल गए हैं या किसी ने आपका पासवर्ड बदल दिया है, जिससे आपने एक्सेस खो दिया है, तो बाहरी प्रोटोकॉल की आवश्यकता है।

इसलिए, एमआईटी में लोगों का एक समूह है जो उपयोगकर्ताओं को खाते पंजीकृत करने और पासवर्ड बदलने में मदद करता है। ऐसा करने के लिए, आप उन्हें अपनी एमआईटी आईडी के साथ प्रस्तुत करते हैं, और कोई फर्क नहीं पड़ता कि क्या होता है, वे आपके लिए कुंजी को बदलने में सक्षम होंगे।

इसलिए, इसे सही तरीके से करना बहुत महत्वपूर्ण है। क्योंकि यदि वह व्यक्ति जो आपको पासवर्ड रीसेट करने की अनुमति देता है, तो आपकी एमआईटी आईडी की जाँच करते समय गलती हो जाती है, तो आप सिस्टम से समझौता कर सकते हैं, है ना? तो केर्बरोस के ये लोग एक भरोसेमंद कंप्यूटिंग बेस का हिस्सा हैं।

केर्बरोस के एक और दिलचस्प उपयोग पर नजर डालते हैं। आप SSH के माध्यम से दूरस्थ कंप्यूटर में लॉग इन करने के लिए Kerberos का उपयोग कर सकते हैं। और जिस तरह से यह काम करता है वह मेल सर्वर के साथ काम करने के समान है। आपको SSH सर्वर के लिए टिकट मिलता है, और आप अपने SSH कनेक्शन के साथ टिकट भेजते हैं। लेकिन क्या होगा अगर आप एथेना.डायल-अप से कनेक्ट होते हैं और आपके कंप्यूटर पर कर्बरोस क्लाइंट नहीं है? आप बस अपने नियमित पासवर्ड के साथ एथेना.डायल-अप लॉगइन करना चाहते हैं।

यदि आप सिर्फ इस मशीन को पासवर्ड से जोड़ते हैं तो एथेना डायल-अप आपको कैसे प्रमाणित करता है? आपके पास Athena.dial-up का पासवर्ड नहीं है, यह Kerberos सर्वर का पासवर्ड है। यदि आप पासवर्ड के साथ लॉग इन करते हैं तो डायल-अप कंप्यूटर को क्या करना चाहिए?

डायल-अप डायल-अप लॉगिंग के रूप में एक ही प्रोटोकॉल का उपयोग करके काम करेगा। इसलिए वह ग्राहक से कर्बरोस सर्वर को एक टिकट देने के लिए एक अनुरोध भेजने जा रहा है, उदाहरण के लिए, उपयोगकर्ता नाम "ऐलिस" के लिए। और वापस, ग्राहक को ऐलिस के पासवर्ड के साथ एन्क्रिप्टेड प्रतिक्रिया प्राप्त होगी। फिर वह पासवर्ड लागू करने का प्रयास करेगा और देखेगा कि क्या वह सही ढंग से डिक्रिप्ट करता है। यदि यह सही ढंग से डिक्रिप्ट करता है, तो आप सिस्टम में लॉग इन कर सकते हैं।

छात्र: आपको अपनी कुंजी SSH सर्वर को भेजने की आवश्यकता नहीं है, क्योंकि इस संबंध में KDS सर्वर SSH कनेक्शन के माध्यम से केसी उपयोगकर्ता को वापस भेज सकता है।

प्रोफेसर: यह संभव है कि हाँ, लेकिन इसके लिए SSH क्लाइंट की कुछ कल्पना की आवश्यकता होती है, जो शायद नहीं है। लेकिन सिद्धांत रूप में यह सच है। यदि आप इसे सही तरीके से करना चाहते हैं, तो आप शायद अपने कंप्यूटर पर एक Kerberos क्लाइंट रखना चाहते हैं और अपने आप को एक टिकट प्राप्त करना चाहते हैं, या शायद SSH सर्वर का उपयोग अग्रेषण के लिए कर सकते हैं, जबकि SSH सर्वर को आपकी कुंजी की अनुमति नहीं देता है।

यह शायद एक अच्छी योजना है। लेकिन यह पता चला है कि वास्तव में, यह एक खतरनाक चीज है जो किसी को भी एसएसएच सर्वर में लॉग इन करने की अनुमति देता है। पहले हमने एक क्लाइंट को लॉग इन करने की कोशिश के बारे में बात की थी। यह क्लाइंट जानता था कि कानूनी पासवर्ड प्रदान करने से, उसे सही केर्बरोस सर्वर से एक प्रतिक्रिया मिली, और यदि वह प्रतिक्रिया को डिक्रिप्ट कर सकता है, तो पासवर्ड शायद सही ढंग से काम करता है।

हालाँकि, इस प्रोटोकॉल में कुछ भी नहीं है जो इस तथ्य की पुष्टि करता है कि यह प्रतिक्रिया सही केर्बोस सर्वर से आती है। इसलिए, अगर मैं केवल एक पासवर्ड दर्ज करके मशीन में प्रवेश करने की कोशिश करता हूं, तो मशीन सर्वर को यह अनुरोध भेज देगी। फिर, इस अनुरोध पर प्रतिक्रिया वापस कर दी जाएगी, जो कि मेरे द्वारा दर्ज किए गए पासवर्ड के साथ एन्क्रिप्टेड लगती है, लेकिन यह उत्तर केर्बोस सर्वर से भी नहीं हो सकता है।

मान लीजिए मेरे पास एक मशीन है जिसके साथ मैं लॉग इन करना चाहता हूं। मैं पासवर्ड X दर्ज करता हूं, और फिर मशीन इस अनुरोध को कर्बरोस सर्वर से भेजती है।



लेकिन इससे पहले कि कर्बेरोस सर्वर क्लाइंट को वास्तविक उत्तर भेजता है, मैं अपनी प्रतिक्रिया भेजूंगा, जो वास्तविक उत्तर की तरह दिखता है, मेरे एक्स पासवर्ड के साथ एन्क्रिप्ट किया गया है। और फिर मैं जिस कार्य केंद्र में लॉग इन करने की कोशिश कर रहा हूं या एसएसएच सर्वर मेरे नकली पासवर्ड के साथ इस उत्तर को डिक्रिप्ट करने की कोशिश करेगा। यह ठीक लगेगा, क्योंकि यह प्रतिक्रिया वास्तविक केर्बरोस सर्वर के बजाय मेरे द्वारा उत्पन्न की गई थी। इसलिए, मैं आपके बजाय लॉग इन कर सकता हूं। ऐसा क्यों हो रहा है?

छात्र: क्योंकि करबरोस सर्वर से कोई प्रमाणीकरण नहीं है।

प्रोफेसर: हाँ, यहाँ कुछ भी नहीं है जो इसे एक वास्तविक करबरोस सर्वर से जोड़ देगा। जिस तरह से केर्बोस ने दूरस्थ कंप्यूटरों जैसे एथेना.डायल-अप के लिए इस असुविधा को ठीक किया है, वह यह है कि डायल-अप कंप्यूटरों में एक प्रकार की गुप्त कुंजी होती है जिसे वे केडीसी के साथ साझा करते हैं। इसलिए, डायल-अप या किसी भी कार्य केंद्र में प्रवेश करने के लिए जो वास्तव में यह जांचने के बारे में परवाह करता है कि क्या आप वास्तव में सही उपयोगकर्ता हैं, दो चीजें की जाती हैं।

Kerberos में पहला लॉगिन होता है जैसा कि आरेख में दिखाया गया है। लेकिन वह किसी पर भी भरोसा नहीं करेगा क्योंकि यह उत्तर सही ढंग से डिक्रिप्टेड है। वह टीजीएस का उपयोग करके स्वयं के लिए एक सेवा टिकट प्राप्त करने का प्रयास करेगा, क्योंकि इस डायल-अप कंप्यूटर की अपनी गुप्त कुंजी है। पहले चरण में, वह बस आपको पंजीकृत करता है, और फिर TGS की ओर मुड़ते हुए कहता है: "कृपया मुझे इस क्लाइंट के लिए डायल-अप के आधार पर, मेरे अपने सिद्धांत पर सेवा टिकट दें।"

तब उसे एक प्रतिक्रिया और जांच मिलती है कि क्या वह इसे सही ढंग से डिक्रिप्ट कर सकता है, क्योंकि वह इस केएस के लिए डायल-अप कुंजी जानता है। और अगर यह कम हो जाता है, तो इसका मतलब है कि कंप्यूटर सही Kerberos सर्वर से बात कर रहा था। क्योंकि दूसरे चरण में केवल सही केर्बरोस सर्वर मुझे मेरे Kdial-up गुप्त कुंजी के साथ एन्क्रिप्टेड टिकट भेज सकता है।

तो यह वास्तव में बहुत महत्वपूर्ण है। आमतौर पर, एथेना वर्कस्टेशन इस अतिरिक्त कदम नहीं उठाते क्योंकि एथेना वर्कस्टेशंस में एक गुप्त कुंजी नहीं होती है जो उन पर संग्रहीत होती है और केडीसी के साथ साझा की जाती है। एथेना वर्कस्टेशंस के लिए आपको पहले चरण में लॉग इन करने का अवसर देना सामान्य क्यों माना जाता है, लेकिन डायल-अप के लिए ऐसा अवसर नहीं देना?

छात्र: यह सामान्य है यदि आपके पास किसी भी सेवा तक पहुंच नहीं है क्योंकि हमलावर टिकट को नकली नहीं कर सकता है।

प्रोफेसर: हाँ, यह सच है, क्योंकि डायल-अप वर्कस्टेशन में कुछ भी दिलचस्प नहीं है। यहां तक ​​कि अगर आपके पास रूट एक्सेस है, या आप एक नकली पासवर्ड के साथ कार्य केंद्र में प्रवेश करते हैं, तो यह किसी को परेशान नहीं करता है। ऐसा नहीं है कि वे अपने कार्य केंद्र के बाहर कुछ और कर सकते थे। डायल-अप पर, सब कुछ बहुत अधिक दिलचस्प है। शायद आपके पास डायल-अप वर्कस्टेशन पर अन्य सत्रों से चलने वाली अन्य प्रक्रियाएं हैं, और यह तथ्य कि आप यूनिक्स-विशिष्ट यूआईडी के साथ लॉग इन हैं, और वे वास्तव में यह सुनिश्चित करना चाहते हैं कि आप सही इकाई हैं, वहां महत्वपूर्ण है। । इसलिए वे मशीन में प्रवेश करने के लिए ऐसी दो-चरणीय प्रक्रिया करते हैं, जिसका उपयोग कई उपयोगकर्ताओं द्वारा एक साथ किया जाता है।

आखिरी बात मैं इस बारे में बात करना चाहता हूं कि हम चाबियों को कैसे बदलते हैं। हमने इस विचार को सामने रखा कि आप मेल सर्वर कुंजी से समझौता कर सकते हैं। लेकिन एक उपयोगकर्ता के रूप में, आप शायद पासवर्ड भी बदलना चाहते हैं। उदाहरण के लिए, आपने सोचा था कि आपका पासवर्ड पर्याप्त रूप से सुरक्षित नहीं था, आपने इसे कागज के एक टुकड़े पर लिखा था, और किसी ने इसे जासूसी किया होगा, इसलिए अब आप इसे बदलना चाहते हैं।

एक अर्थ में, यह काफी सरल है। Kerberos और TGS सेवाओं के अलावा, Kerberos सर्वर इंटरफ़ेस में Kpassword नामक एक अतिरिक्त सेवा है, जो आपको अपना पासवर्ड बदलने की अनुमति देती है।



आपको इस सेवा का उपयोग करने के लिए एक टिकट मिलता है जैसे मेल सर्वर या किसी अन्य सर्वर के लिए टिकट। उसके बाद, आप अपनी नई पासवर्ड को इस Kpassword सेवा में भेजते हैं, जिसे आपकी सत्र कुंजी के साथ एन्क्रिप्ट किया गया है। और फिर, यदि सभी चेक पास हो जाते हैं, तो डेटाबेस में आपकी कुंजी एक नई कुंजी के साथ अपडेट हो जाएगी।

यदि आपको याद है, तो हमारा एक लक्ष्य था - यदि कोई आपका टिकट चुराता है, तो वह इतना अच्छा नहीं होना चाहिए कि वह आपके खाते पर पूरी तरह से कब्जा कर सके। इस कारण से, Kpassword सेवा किसी भी टिकट को स्वीकार नहीं करती है, लेकिन केवल वह टिकट जिसे आप शुरू में अपनी Kc कुंजी के साथ Kerberos सेवा से प्राप्त करते हैं। : , , , , – Kerberos TGS – . : Kerberos, , TGS, .
Kpassword, , , : «, Kerberos, . TGS, , , , - , . ».

, Kpassword , , , Kerberos. , Kpassword , Kerberos Kpassword.

Kpassword, - . , , Kerberos. Kerberos, ID , Kpassword.



Kerberos , Kpassword, Kpass, Kc,kpass Kpassword, Kc.

, – Kpassword, Tc,kpass, Kpass, , new pass Kc,pass, .

, , , , . - Athena, , , , . , , Gmail, , . , Kerberos TGS , - , .

, - Athena , , , . , . , . Tc,kpass, Kpassword, TGS, . , Kerberos Kc.

: , ?

: K . Kerberos , . , K. - K, .

: , ?

: , - , , . .

, , , , , , .

: , , .

: , , . , , Kerberos , , . , . . , , .

: K, ?

: , K – 56- DES, , , 56 , , 7 , . .

, , . , , , , . Kerberos?



: …

: , , , , , , . ?

: .

: , .

: - , , , , …

: , , Kerberos , , , . . , , , «» - , ! : „, Kc,pass, K. Kc,pass , Kpassword». , , KDC. , .
, , - , - . .

: , Kerberos ?

: , . « -», , , . , .

, Kerberos 5. , , , . , . , X, Kpassword - Y. , , . , g X , g Y.



gy X, gxy, gx Y gxy. gxy , . , , gxy. , , - gxy, . , .

: - G.

: , . G — , Kerberos, . , -, Kerberos 5 . , - . , , Kerberos, SSL.


.

हमारे साथ बने रहने के लिए धन्यवाद। क्या आप हमारे लेख पसंद करते हैं? अधिक दिलचस्प सामग्री देखना चाहते हैं? एक आदेश रखकर या अपने दोस्तों को इसकी अनुशंसा करके हमें समर्थन दें, एंट्री-लेवल सर्वरों के अनूठे एनालॉग पर हैबर उपयोगकर्ताओं के लिए 30% छूट जो हमने आपके लिए ईजाद की है: VPS (KVM) E5-2650 v4 (6 कोर) 10GB DDR4 240GB SSD 1Gbps से पूरा सच $ 20 या सर्वर को कैसे विभाजित करें? (विकल्प RAID1 और RAID10 के साथ उपलब्ध हैं, 24 कोर तक और 40GB DDR4 तक)।

VPS (KVM) E5-2650 v4 (6 करोड़) 10GB DDR4 240GB SSD 1Gbps दिसंबर तक मुफ्त में जब छह महीने की अवधि के लिए भुगतान करते हैं, तो आप यहां ऑर्डर कर सकते हैं ।

डेल R730xd 2 बार सस्ता? केवल हमारे पास 2 x Intel Dodeca-Core Xeon E5-2650v4 128GB DDR4 6x480GB SSD 1Gbps नीदरलैंड और यूएसए में $ 249 से 100 टीवी है ! इन्फ्रास्ट्रक्चर Bldg का निर्माण कैसे करें के बारे में पढ़ें । एक पैसा के लिए 9,000 यूरो की लागत डेल R730xd E5-2650 v4 सर्वर का उपयोग कर वर्ग?