atbm

ĐỀ TÀI : TÌM HIỂU GIAO THỨC XÁC THỰC KERBEROS NHÓM 11 : Nguyễn Thị Toàn

Bùi Tuấn Trường

Lê Văn Trường

Nguyễn Văn Trường

Nguyễn Văn Tùng

Đinh Sĩ Tuấn

- NỘI DUNG

- Tổng quan - Kiến trúc kerberos- Điểm yếu- Dạng tấn công vào kerberos- Tổng kết

A. TỔNG QUAN

- Kerberos là một hệ thống xác thực mạng có thể giúp giải quyết những vấn đề bảo mật thông tin mạng. Nó làm giảm số lượng mật khẩu người dùng phải ghi nhớ khi mạng máy tính hoạt động trên đường truyền không an toàn. Ngoài ra , Kerberos không như các hình thức chứng thực khác, Kerbero thực sự dựa trên mã hóa đối xứng, không sử dụng mã hóa khoá-công-khai. Mục tiêu khi thiết kế giao thức này là nhằm vào mô hình client- server và nhận thực cho cả 2 chiều.

A.TỔNG QUAN

Kerberos là một dịch vụ chứng thực được thiết kế để sử dụng trong môi trường phân tán gồm các trạm làm việc của người dùng (client) và các server phân tán hoặc trung tâm.

A.TỔNG QUAN

- Hai phiên bản đang được sử dụng phổ biến là Kerberos 4 và Kerberos 5.

- Cả hai giao thức này đều giống nhau về các khái niệm và thiết kế nhưng khác nhau số byte và cách thực hiện.

- Các hệ điều hành Windows 2000, Windows XP và Windows Server 2003 và sau này sử dụng một phiên bản Kerberos làm phương pháp mặc định để xác thực. - Hệ điều hành Mac OS X cũng sử dụng Kerberos trong các phiên bản Clients và Server của mình.

B. KIẾN TRÚC KERBEROS

- Các yêu cầu kỹ thuật : - Bảo mật: Kẻ xem trộm mạng không thể thu được thông tin cần thiết để thủ vai

một người dùng. Tổng quát hơn, Kerberos cần đủ mạnh để kẻ tấn công không tìm được điểm yếu.

- Tin cậy: Với tất cả các dịch vụ dựa vào Kerberos để điều khiển truy xuất, thiếu hiệu lực của dịch vụ Kerberos có nghĩa là thiếu đi tính sẵn dùng của dịch vụ.

- Tính dễ dùng: Rất lý tưởng nếu người dùng không nhận biết được rằng thủ tục chứng thực được thi hành, không nhiều hơn một đòi hỏi nhập một mật khẩu.

- Tính mở rộng: Hệ thống cần có khả năng hỗ trợ một số lớn các client và server.


Kerberos 4 Kerberos 4 chủ yếu dựa trên giao thức Needham-Schroeder, với hai thay

đổi lớn. Các host Kerberos 4 trao đổi trực tiếp bản đồ với máy chủ tham gia vào các giao thức Needham-Schroeder. Khách hàng xác thực là người dùng Kerberos 4 như một máy trạm, và máy chủ chứng thực các bản đồ tại trung tâm phân phối chính.

Các giao thức Kerberos 4 được chia thành hai thành phần Authentication Server và Ticket Granting Server.

C.ĐIỂM YẾU

Toàn bộ hệ thống làm việc dựa trên sự an toàn của hệ thống KDC, nếu hệ thống bị tấn công thì toàn bộ các thành phần trong hệ thống bị tê liệt, KDC là hiểm họa chính của sự tấn công.

Đòi hỏi các máy tính trong hệ thống phải đồng bộ vệ thời gian (không chênh lệch với nhau quá 5 phút)

Với cơ chế đăng nhập một lần trên một máy tính, nếu máy tính đó rơi vào tay attackers thì toàn bộ dữ liệu người dùng bị đánh cắp, và gây nguy cơ cho toàn bộ hệ thống

D. CÁC DẠNG TẤN CÔNG

Root compromise of a Kerberos KDC machine. Một thỏa hiệp gốc của 1 máy chủ KDC cho phép kẻ tấn công toàn quyền kiểm soát toàn bộ hệ thống xác thực Kerberos. Mặc dù các cơ sở dữ liệu kerberos được mã hóa trên ổ cứng với khóa kerberos master, khóa master được giữ trên ổ cứng KDC vì thế không có bất kì sự can thiệp bằng tay nào được yêu cầu nhập password master) khi server KDC bắt đầu

- Compromise of a Kerberos administrator's credentials: Nếu 1 hacker lấy được mật khẩu của người quản trị, hacker có thể hoàn thành tấn công trên toàn bộ database kerberos.


- Root compromise of a server machine: Để giao thức Kerberos làm việc, 1 dịch vụ phải có truy cập đến 1 dịch vụ chính. Các dich vụ chính nằm trên hệ thống tập tin của máy chủ, hoặc nằm trên 1 keytab được thực thi bởiUnix, hoặc LSA bí mật trong những sự thi hành.

-Root compromise of a client machine. Một thỏa hiệp gốc của một máy client sẽ cung cấp cho kẻ tấn công với tất cả các vé đã được lưu trên máy đó. Khi các vé có giới hạn thởi gian, nó không phải là một thỏa hiệp quan trọng như một kẻ tấn công lấy mật khẩu của người dùng.


- Compromise of user credentials. Có 2 khả năng trong kịch bản này: hoặc bộ nhớ lưu vé người dùng đã bị lộ, hoặc mật khẩu của người dùng bị thỏa hiệp. Nếu hacker lấy được bộ nhớ các vé chưa được mã hóa, các vé chứa trong bộ nhớ cache mà chỉ có hiệu lực trong khoảng thời gian quy định trong vé. Mặt khác, nếu kẻ tấn công sử dụng lại mật khẩu của người dùng, những kẻ tấn công có thể mạo danh người dùng đó cho đến khi người dùng thay đổi mật khẩu của mình.

E . TỔNG KẾT

- Kerberos là một hệ thống xác thực mạng có thể giúp giải quyết những vấn đề bảo mật thông tin mạng. Nó làm giảm số lượng mật khẩu người dùng phải ghi nhớ khi mạng máy tính hoạt động trên đường truyền không an toàn.

- Kerberos là một dịch vụ chứng thực được thiết kế để sử dụng trong môi trường phân tán gồm các trạm làm việc của người dùng (client) và các server phân tán hoặc trung tâm

atbm

Documents