微軟NTLM認證協議的特點講解
原創【51CTO獨家特稿】NTLM是一個微軟專用協議，它基于挑戰/響應模型認證用戶和計算機。NTLM（NT LanMan）是所有Windows NT系列產品都使用的認證方式。與它的前任LanMan相似，NTLM使用挑戰/響應模型來證實客戶端的身份，而不需要在網絡上發送口令或散列的口令。NTLM認證具有下述特點：
NTLM認證是微軟專用的NT LAN Manager認證，它只適用于Microsoft Internet Explorer。
集成的Windows認證的工作方式與消息摘要認證相同。
Windows Challenge/Response (NTLM) 是用在包括著Windows操作系統的網絡中的一種認證(authentication)協議, 也用在stand-alone系統上.
在網絡環境中, Microsoft Kerberos 比NTLM添加了更多的安全性. 盡管Microsoft Kerberos 是一個不錯的選擇, NTLM現在還是被支持的. NTLM必須被使用在stand-alone的系統上, 用來做登錄的認證.
NTLM的credential是基于在交互登錄過程中維護的數據上的, 這里的數據包括域名, 用戶名, 還有一個用戶密碼的單向hash串. NTLM使用加密的challenge/response 協議來認證一個用戶, 用戶的密碼不會被在線路上傳輸. 取明文密碼而代之的是, 系統會執行一個計算, 通過這個計算證明他已經訪問到了安全的NTLM credentials。
網路上的交互式NTLM認證典型地涉及到兩個系統: 一個客戶端系統, 在這個系統上, 用戶請求認證; 一個域控制器, 其中存放著用戶的密碼.
非交互式的認證里, 其中一個已經登錄了的用戶要訪問一個資源(比如說服務器應用程序), 這里典型地會涉及到三個系統: 一個客戶端, 一個服務器, 和一個域控制器. 域控制器會代替服務器進行authentication的計算.
下面的步驟展現了一個NTLM非交互式的認證過程：
用戶提供NTLM credential, 這僅屬于非交互式authentication過程的部分.
(僅非交互式authentication)一個用戶訪問一個客戶端計算機, 提供一個域名, 用戶名, 和密碼. 客戶端計算機會計算出一個加密的密碼哈希值, 并丟掉真實的密碼.
客戶端把用戶名發送給服務器(使用純文本發送plaintext)
服務器生成一個十六個字節的隨機數, 叫做一個challenge 或 nonce. 并把這個challenge發送給客戶端.
客戶端使用用戶密碼的hash來加密這個challenge, 然后把這個加密后的結果返回給服務器, 這叫做response.
服務器發送下面的三項數據給域控制器:
用戶名
發送給客戶端的Challenge
從客戶端收回來的Response
域控制器使用用戶名來從Security Account Manager 數據庫中取得用戶密碼的hash值. 域控制器使用這個hash值來加密challenge.
域控制器比較它自己加密的值和從客戶端收來的加密的值. 如果它們是一樣的, 那么認證成功.
域控制器發送一個信號給應用程序服務器, 告訴它說這個用戶的認證成功了, 他是某某人. 應用程序服務器確認這個用戶有權訪問自己后, 于是開放某些資源給這個用戶訪問.
用戶的應用程不能直接訪問NTLM security package, 取而代之的是, 它應該使用Negotiate security package. 如果authentication涉及到的操作系統允許的話, Negotiate 允許你的應用程序來使用高級security protocols的優勢. 當前, Negotiate security package 的選擇包括Kerberos 和NTLM兩種. Negotiate 會選擇Kerberos, 除非Kerberos不被牽扯到authentication的操作系統支持.
【51CTO獨家特稿，合作站點轉載請注明原文譯者和出處。】
【編輯推薦】
