|
- В этой главе описываются базовые технологии
безопасности, обеспечивающие защиту сетей и доменов Windows Server 2003.
- Общие
понятия безопасности Аутентификация (проверка подлинности). Это процесс надежного
определения подлинности поддерживающих связь компьютеров. Аутентификация основана
на методах криптографии, и это гарантирует, что нападающий или прослушивающий
сеть не сможет получить информацию, необходимую для рассекречивания пользователя
или другого объекта. Аутентификация позволяет поддерживающему связь объекту доказать
свое тождество другому объекту без пересылки незащищенных данных по сети. Без
"сильной" (strong) аутентификации и поддержания целостности данных любые
данные и компьютер, который их послал, являются подозрительными.
- Шифрование
с открытым ключом
Криптография — это наука о защите данных. Алгоритмы
криптографии с помощью математических методов комбинируют входной открытый текст
и ключ шифрования, в результате чего получаются зашифрованные данные. Применение
криптографии обеспечивает надежную передачу данных и предотвращение их получение
несанкционированной стороной. - Обеспечение
истинности открытых ключей Окна ПВХ, окна пластиковые Киев с доставкой.
- Что такое
сертификат Сертификат — это средство, позволяющее гарантированно установить
связь между переданным открытым ключом и передавшей его стороной, владеющей соответствующим
личным ключом.
- Центр сертификации
(ЦС), или поставщик сертификатов (Certificate Authority, CA), — это организация
или служба, создающая сертификаты
- Применение
алгоритмов шифрования с открытым ключом в Windows Server 2003 Операционные
системы Windows 2000 и Windows Server 2003 обладают развитыми средствами шифрования
данных с открытым ключом
- Компоненты
Windows Server 2003, обеспечивающие шифрование Несколько служб могут эффективно
работать на одном компьютере. Ключевое звено схемы — службы сертификатов Microsoft
(Microsoft Certificate Services). Они позволяют создать один или несколько ЦС
предприятия, поддерживающих создание и отзыв сертификатов. Они интегрированы в
Active Directory, где хранится информация о политике ЦС и их местоположении. Кроме
того, с помощью Active Directory выполняется публикация информации о сертификатах
и их отзыве.
- Политики
безопасности Политики безопасности действуют в рамках сайта, домена или контейнера
(подразделения, или организационной единицы, OU) и распространяются на группы,
компьютеры и пользователей — т. е. на все объекты администрирования.
- Протокол
аутентификации Kerberos
- Основные
понятия Проблема аутентификации пользователя заключается в необходимости проверки
того факта, что он является тем, за кого себя выдает. Наука знает множество различных
способов проверки подлинности личности, которые упрощенно можно разделить на две
группы: Где в Киеве Приобрести паркетную доску?
- Аутентификация
Kerberos в доменах Active Directory По мере роста и усложнения компьютерных
сетей предприятия, построенных на основе систем Windows, становится необходимым
применение протокола, обеспечивающего более совершенную и надежную аутентификацию
пользователей при доступе к распределенным ресурсам.
- Модель
распределенной безопасности Windows Server 2003 Каждая рабочая станция
и сервер имеют прямой доверенный путь (trust path) к контроллеру домена, членом
которого является данная машина. Доверенный путь устанавливается службой NetLogon
с помощью аутентифицированного соединения RPC с контроллером домена.
- Интегрированная
аутентификация Kerberos В Windows Server 2003 аутентификация Kerberos реализована
на уровне доменов, что позволяет выполнять одну регистрацию в системе при доступе
ко всем ресурсам сети и поддерживать модель распределенной безопасности Windows
Server 2003. Маршрутизация в объединенных сетях
Фрагментация Сетевой уровень в Интернете
- Протокол
Kerberos и авторизация Windows Server 2003
Имперсонализация Windows Server
2003 требует, чтобы локальный администратор безопасности (LSA) сервера мог безопасно
получать SID пользователя и список идентификаторов безопасности членов групп.
Идентификаторы безопасности генерируются системой безопасности домена и используются
в LSA при создании маркеров доступа для имперсонализации. - Применение
Kerberos в сетях Windows 2000/Server 2003 Аутентификация Kerberos используется
многими службами домена Active Directory. Интерфейс SSPI применяется для аутентификации
в большинстве системных служб, поэтому их перевод с аутентификации NTLM на Kerberos
требует минимальных усилий.
- Совместная
работа средств обеспечения безопасности сети Домены Active Directory должны
иметь возможность одновременно поддерживать клиентские компьютеры и серверы, на
которых работает программное обеспечение Windows NT 3.x—4.0, Windows 9х/МЕ, а
также Windows 2000/XP и Windows Server 2003.
- Безопасность
IP (IPSec)
- Шифрующая
файловая система EFS
- Сертификаты
- Использование сертификатов
для обеспечения безопасности Аутентификация (authentication) или проверка
подлинности. Проверка того, что объект, с которым вы взаимодействуете, является
в действительности авторизованным объектом.
- Аутентификация
является необходимым условием обеспечения секретности обмена данными. Пользователи
должны иметь возможность подтвердить свою подлинность и проверить идентификацию
других пользователей, с которым они общаются.
- Конфиденциальность
- Центры
сертификации (также встречается термин поставщик сертификатов) (Certification
Authority, CA) представляет собой службу, которой доверен выпуск сертификатов,
если индивидуальный пользователь или организация, которые запрашивают сертификат,
удовлетворяют условиям установленной политики.
- Использование
сертификатов в Интернете При работе в Интернете браузер Internet Explorer
использует два типа сертификатов: персональный сертификат (personal certificate)
и сертификат веб-узла (Web site certificate).
- Хранилища
сертификатов Операционная система сохраняет сертификаты локально на том компьютере,
с которого запрашивался сертификат для данного компьютера или для пользователя,
работающего за данным компьютером. Место хранения сертификатов называется хранилищем
сертификатов (certificate store).
- Запрос
сертификата Если администратор создал политику открытого ключа для автоматизации
запросов на получение сертификатов, то вам, возможно, никогда не придется запрашивать
сертификаты самостоятельно, если только вы не работаете со смарт-картами. Пользователи
смарт-карт должны запрашивать свои сертификаты.
- Установка
центра сертификации Центр сертификации (ЦС) — важный элемент в системе безопасности
организации, поэтому в большинстве организаций имеется собственный ЦС. В Windows
Server 2003 центры сертификации могут быть двух классов: ЦС предприятия (Enterprise
СА) и изолированный ЦС (Stand-alone CA).
- Управление
центром сертификации
После инсталляции центра сертификации можно запустить
управляющую оснастку Certification Authority. Для этого в меню Administrative
Tools выполните команду Certification Authority |