Kerberos域安全

 

1.kerberos协议

Kerberos协议由麻省理工学院MIT提出，目前主流版本为RFC 4120定义的V5版
Windows、 Linux和Mac这3大主流操作系统均支持Kerberos协议,Windows 2016支持最新的Kerbeos ARMOR版

DS ( Domain Server)，存储了每个域用户的口令散列值NTLM。根据功能划分，DC包含2大模块: AS、TGS
AS(Authentication Server ) ，认证用户，用户使用NTLM加密时间戳，AS使用用户的口令NTLM解密时间戳，进行认证。发布认证票据
TGS ( Ticket Granting Service)，根据认证票据，发布授权票据。认证票据可以多次循环使用

 

 

Windows下kerberos实现过程

1.在win10下用域普通用户查看

whoami
klist /?
klist sessions    #查看票据，
klist tgt    查看tgt票据，0x5为权限不足，拒绝访问
klist purge    清除票据
klist    查看票据

2.域分组

微软对分组进行了分类，域内的组包括分发组和安全组2大类

• 分发组（distribution groups），用于创建电子邮件分发列表，只能 用于与电子邮件相关的应用，例如Exchange服务器，应用范围较小；
• 安全组（Security groups），用于管理资源\对象的权限，也是我们 最常见、最关心的组，只讨论安全组

既然组有不同的等级，那每个等级的作用域（Group Scope）也会不 同，活动目录定义了安全组的3种作用域 通用组（