SSPI和SSP

SSPI

SSPI(Security Service Provider Interface或Security Support Provider Interface,安全服务提供接口)是Windows定义的一套接口，该接口定义了与安全有关的功能函数，包含但不限于：

• 身份验证机制
• 为其他协议提供Session Security(会话安全)机制。Session Security机制可为通信提供数据的完整性校验以及数据的加密、解密功能

PS：SSPI只是定义了接口函数，并没有去实现具体内容

SSP

SSP(Security Service Provider，安全服务提供者)是SSPI的实现者。懂Java的话很容易就能理解SSP和SSPI的关系。
微软自己实现了很多SSP，下面是其中比较典型的：

• NTLM SSP：Windows NT3.51中引入(msv1_0.dll)，为windows 2000之前的客户端-服务器域和非域身份验证(SMB/CIFS)提供NTLM质询/响应身份验证
• Kerberos SSP: Windows 2000中引入，Windows Vista中更新为支持AES(kerberos.dII),为Windows 2000及更高版本中首选的客户端-服务器域提供相互身份验证。
• Digest SSP: Windows XP中引人(wdigest.dI),在Windows系统与非Windows系统间提供基于HTTP和SASL身份验证的质询/响应。
• Negotiate SSP: Windows 2000中引人(secur32.dII),默认选择Kerberos,如果不可用，则选择NTLM协议。Negotiate SSP提供单点登录功能，有时称为集成Windows身份验证(尤其是用于IIS时)。在Windows 7及更高版本中引入了客户端和服务器上支持的已安装定制SSP进行身份验证。

因为SSPI中定义了与Session Security有关的API,所以上层应用利用任何SSP与远程的服务进行身份验证后，此SSP都会为本次连接生成一个随机Key。这个随机Key被称为Session Key。上层应用经过身份验证后，可以选择性地使用这个Key对之后发往服务端或接收自服务端的数据进行签名或加密。在系统层面，SSP就是一个dII,用来实现身份验证等安全功能。不同的SSP,实现的身份验证机制是不一样的，比如NTLM SSP实现的是一种基于质询/响应的身份验证机制，而Kerberos SSP实现的是基于Ticket(票据)的身份验证机制。我们可以编写自己的SSP,然后注册到操作系统中，让操作系统支持我们自定义的身份验证方法。