এটি এমনটি যা আমি কখনই উত্তর দিতে পারি নি পাশাপাশি আমিও পছন্দ করি: এনটিএলএমের পরিবর্তে আইআইএস-এ কার্বেরোস প্রমাণীকরণ ব্যবহারের আসল সুবিধা কী?
আমি অনেক লোককে সত্যই এটি সেট আপ করার জন্য লড়াই করতে দেখেছি (নিজেকে অন্তর্ভুক্ত করা হয়েছে) এবং এটি ব্যবহারের জন্য আমি কোনও ভাল কারণ নিয়ে আসতে সক্ষম হইনি। যদিও বেশ কিছু তাৎপর্যপূর্ণ সুবিধাগুলি থাকতে হবে, অন্যথায় এটি সেট আপ করার জন্য সমস্ত সমস্যার উপযুক্ত হবে না, তাই না?
উত্তর:
শুধুমাত্র একটি উইন্ডোজ দৃষ্টিকোণ থেকে:
MaxConcurrentAPI, AuthPersistSingleRequest(মিথ্যা) ।, দ্রুত ডিসি) ( স্ব রেফারেনশিয়াল বোনাস ।)lmcompatibilitylevel) এর পক্ষে সংবেদনশীলকোনও প্রক্সি অনুগ্রহ করতে সক্ষম হতে পারে তবে উপরের ডিসি পয়েন্টটি দেখুন: সার্ভারের মতো আপনাকে এখনও সক্রিয় ডিসি হিসাবে একই নেটওয়ার্কে থাকা দরকার ।
টিকিট দীর্ঘকালীন (10 ঘন্টা) যার অর্থ টিকিট জীবদ্দশায় কম ডিসি যোগাযোগ - এবং জোর দেওয়া: এটি সেই জীবনকালে প্রতি ক্লায়েন্টের কয়েক হাজার থেকে কয়েক মিলিয়ন অনুরোধ বাঁচাতে পারে - ( এখনও একটি জিনিস; কার্বারোস পিএসি বৈধতা ব্যবহৃত হত)AuthPersistNonNTLM
UserAআইআইএস অ্যাক্সেস করার অনুমতি দিতে এবং আইআইএস এসকিউএল সার্ভার অ্যাক্সেস করলে একই ব্যবহারকারী অ্যাকাউন্টটি ব্যবহার করে, এটি "প্রমাণীকরণের প্রতিনিধি"।KRB_ERR_AP_MODIFIED)যখন আমরা এতে আছি:
LogonTypeসম্পাদন করার জন্য কনফিগার করা দরকার হতে পারে (2000 এবং 2003 এর মধ্যে নেটওয়ার্ক ডিফার্টেক্সে ডিফল্টটি পরিবর্তিত হয়েছে বলে মনে করেন) তবে এটি দুর্ঘটনার হতে পারে)সংক্ষেপে:
কার্ব সেট আপ করা কঠিন হতে পারে, তবে সেখানে প্রচুর গাইড ( আমার একজন ) রয়েছে যা প্রক্রিয়াটি সহজ করার চেষ্টা করে এবং ২০০৩ থেকে ২০০৮ পর্যন্ত সরঞ্জামগুলি ব্যাপকভাবে উন্নত হয়েছে ( SetSPNডুপ্লিকেটগুলি অনুসন্ধান করতে পারে, যা সবচেয়ে সাধারণ ব্রেকিং সমস্যা) ; যেSETSPN -S কোনও সময় আপনি -A ব্যবহারের জন্য গাইডেন্স দেখতে পান এবং জীবন আরও সুখী হবে)।
সীমাবদ্ধ প্রতিনিধিদল প্রবেশের জন্য মূল্যবান।
আরেকটি পদ্ধতির মধ্যে প্রমাণীকরণ সেট করা negotiateএবং একে অপরের পরিবর্তে দুটি ব্যবহার করা হবে।
থেকে মাইক্রোসফট অ্যাপ্লিকেশন সত্যনিরূপক , যা সাধারণ ডেভেলপার ভুল সনাক্ত করে। এই ভুলগুলির মধ্যে একটি হ'ল এনটিএলএম এর ব্যবহার :
এনটিএলএম হ'ল ত্রুটিযুক্ত একটি পুরানো প্রমাণীকরণ প্রোটোকল যা সম্ভাব্যভাবে অ্যাপ্লিকেশন এবং অপারেটিং সিস্টেমের সুরক্ষার সাথে আপস করে। সর্বাধিক গুরুত্বপূর্ণ সমস্যাটি হ'ল সার্ভার প্রমাণীকরণের অভাব, যা কোনও আক্রমণকারীকে ব্যবহারকারীদের একটি স্পুফ সার্ভারের সাথে সংযোগ স্থাপনের জন্য প্ররোচিত করতে পারে। অনুপস্থিত সার্ভারের প্রমাণীকরণের মূল হিসাবে, এনটিএলএম ব্যবহার করে অ্যাপ্লিকেশনগুলি "প্রতিবিম্ব" আক্রমণ হিসাবে পরিচিত এক ধরণের আক্রমণেও ঝুঁকিপূর্ণ হতে পারে। এই পরবর্তী কোনও আক্রমণকারীকে কোনও বৈধ সার্ভারে ব্যবহারকারীর প্রমাণীকরণ কথোপকথন হাইজ্যাক করতে এবং ব্যবহারকারীর কম্পিউটারে আক্রমণকারীকে প্রমাণীকরণ করতে এটি ব্যবহার করতে দেয়। এনটিএলএমের দুর্বলতা এবং সেগুলি কাজে লাগানোর উপায়গুলি সুরক্ষা সম্প্রদায়ের গবেষণা ক্রিয়াকলাপ বাড়ানোর লক্ষ্য।
যদিও কার্বেরোস বহু বছর ধরে উপলভ্য ছিল তবে কেবলমাত্র এনটিএলএম ব্যবহারের জন্য অনেক অ্যাপ্লিকেশন লেখা রয়েছে। এটি অযথা অ্যাপ্লিকেশনগুলির সুরক্ষা হ্রাস করে। তবে কার্বেরোস সব পরিস্থিতিতে এনটিএলএম প্রতিস্থাপন করতে পারে না - মূলত এমন কোনও ক্ষেত্রে যেখানে ক্লায়েন্টকে এমন একটি সিস্টেমে অনুমোদনের প্রয়োজন হয় যা ডোমেনে যোগ না দেওয়া (একটি হোম নেটওয়ার্ক সম্ভবত এর মধ্যে সবচেয়ে সাধারণ)। নেগোসিয়েট সুরক্ষা প্যাকেজটি পিছনের দিকে সামঞ্জস্যপূর্ণ মীমাংসার অনুমতি দেয় যা কারবারোস যখনই সম্ভব ব্যবহার করে এবং যখন অন্য কোনও বিকল্প নেই তখন কেবল এনটিএলএম-এ ফিরে আসে। এনটিএলএম এর পরিবর্তে নেগোসিয়েট ব্যবহারের জন্য কোড স্যুইচ করা আমাদের গ্রাহকদের জন্য কিছু বা কোনও অ্যাপ্লিকেশনের সামঞ্জস্যতা প্রবর্তনের সময় সুরক্ষাকে উল্লেখযোগ্যভাবে বাড়িয়ে তুলবে। নিজে থেকে আলোচনা করা কোনও রূপালী বুলেট নয় - এমন ঘটনাও রয়েছে যে কোনও আক্রমণকারী এনটিএলএম-এ ডাউনগ্রেডকে বাধ্য করতে পারে তবে সেগুলি শোষণে উল্লেখযোগ্যভাবে আরও কঠিন। তবে, একটি তাত্ক্ষণিক উন্নতি হ'ল নেগোসিটকে সঠিকভাবে ব্যবহার করতে লেখা অ্যাপ্লিকেশনগুলি স্বয়ংক্রিয়ভাবে এনটিএলএম প্রতিবিম্ব আক্রমণগুলিতে প্রতিরোধক।
এনটিএলএম ব্যবহারের বিরুদ্ধে চূড়ান্ত সতর্কতার সাথে: উইন্ডোজের ভবিষ্যতের সংস্করণগুলিতে অপারেটিং সিস্টেমে এনটিএলএম ব্যবহার নিষ্ক্রিয় করা সম্ভব হবে। অ্যাপ্লিকেশনগুলির যদি এনটিএলএমের উপর নির্ভরশীলতা থাকে তবে এনটিএলএম অক্ষম হয়ে গেলে তারা কেবল প্রমাণীকরণে ব্যর্থ হয়।
আপনার একটি খুব গুরুত্বপূর্ণ পয়েন্ট যুক্ত করা উচিত:
কার্বেরোস 20 বছর ধরে ইউনিক্সে স্ট্যান্ডার্ড এবং ওপেন প্রোটোকল হয়েছে যেখানে এনটিএলএম মাইক্রোসফ্টের থেকে সম্পূর্ণরূপে মালিকানাধীন সমাধান এবং কেবল মাইক্রোসফ্টের কাছে পরিচিত।
আইআইএস সার্ভারে নেই এমন সংস্থানগুলি অ্যাক্সেস করার জন্য যদি আপনার ব্যবহারকারীর ছদ্মবেশ তৈরি করতে হয় তবে কার্বেরোস প্রয়োজন।