一.桌面SSO和WEB-SSO的局限性 前面我们的解决方案(桌面SSO和WEB-SSO)都有一个共性:要想将一个应用集成到我们的SSO解决方案中,或多或少的需要修改应用程序. Web应用需要配置一个我们预制的filter: 桌面应用需要加上我们桌面SSO的JAAS模块(至少要修改JAAS的配置文件). 但是,有很多程序是没有源代码和无法修改的,例如常用的远程通讯程序telnet和ftp等等一些操作系统自己带的常用的应用程序.这些程序是很难修改加入到我们的SSO的解决方案中. 二.全方位的SSO解…

Kerberos协议主要用于计算机网络的身份鉴别 (authentication),其特点是用户只需输入一次身份验证信息就可以凭借此验证获得票据(ticket-granting-ticket)访问多个服务,即SSO(Single Sign On).由于在每个client和server之间建立了共享密匙,使得该协议具有相当的安全性. http://idior.cnblogs.com/archive/2006/03/20/354027.html…

Kerberos协议工作原理分析 这里面借用一下师傅们的图来说明一下    Kerberos协议的流程大致如下(假设A要获取对Server B的访问权限) 第一步(KRB_AS_REQ) 这一步客户端A向AS发送认证请求,发送经自身密码hash(域用户密码)加密的时间戳(域认证很多都用到时间戳,一是避免了时间过长而造成的暴力攻击,并且正好将时间戳作为认证点) 第二步(KRB_AS_REP) AS收到了客户端发送的认证请求,于是从本地数据库中拿到客户端A的密码哈希解密出时间戳,若时间戳认证成功后…

一.kerberos认证过程: client向kerberos服务请求,希望获取访问server的权限.kerberos得到了这个消息,首先得判断client是否是可信赖的,也就是白名单黑名单的说法.这就是AS服务完成的工作,通过在AD中存储黑名单和白名单来区分client.成功后,返回TGT给client.client得到了TGT后,继续向kerberos请求,希望获取访问server的权限.kerberos又得到了这个消息,这时候通过client消息中的TGT,判断出了client拥有了这个…

学习了解kerberos协议,有助于我们后期理解黄金票据和白银票据的原理 kerberos协议 kerberos是一种由麻省理工大学提出的一种网络身份验证协议.旨在通过使用密钥加密技术为客户端/服务器应用程序提供强身份验证. kerberos协议中主要由三个角色: (1)访问服务的client(一下表述为Client或者用户) (2)提供服务的server(一下表述为服务) (3)KDC(Key Distribution Center)密钥分发中心 其中KDC服务默认会安装在一个域的域控中,而C…

0x01 关于SPN 服务主体名称(SPN)是Kerberos客户端用于唯一标识给特定Kerberos目标计算机的服务实例名称. 服务主体名称是服务实例(可以理解为一个服务,比如 HTTP.MSSQL)的唯一标识符.Kerberos 身份验证使用 SPN 将服务实例与服务登录帐户相关联. 在内部网络中,SPN扫描通过 查询向域控制器执行服务发现.这对于红队而言,可以帮助他们识别正在运行重要服务的主机,如终端.交换机.微软SQL等,并隐藏他们.此外,SPN的识别也是kerberoasting攻击的…

Kerberos认证协议分析 Kerberos认证协议流程 如上图: * 第一步:client和认证服务器(AS)通信完成认证过程,如果认证成功AS返回给client一个TGT(用来向TGS获取ticket): * 第二步:client和票据生成服务器(TGS)通信验证是否要去访问目标站点的权限,如果有返回一个ticket给client: * 第三步:client带着这个票据访问待访问站点: 协议弱点 * Kerberos引入的时间戳,在时间内依然可以被重放: * Kerberos协议对口令进行…

Kerberos协议: Kerberos协议主要用于计算机网络的身份鉴别(Authentication), 其特点是用户只需输入一次身份验证信息就可以凭借此验证获得的票据(ticket-granting ticket)访问多个服务,即SSO(Single Sign On).由于在每个Client和Service之间建立了共享密钥,使得该协议具有相当的安全性. 条件 先来看看Kerberos协议的前提条件: 如下图所示,Client与KDC, KDC与Service 在协议工作前已经有了各自的共享…

Kerberos协议: Kerberos协议主要用于计算机网络的身份鉴别(Authentication), 其特点是用户只需输入一次身份验证信息就可以凭借此验证获得的票据(ticket-granting ticket)访问多个服务,即SSO(Single Sign On).由于在每个Client和Service之间建立了共享密钥,使得该协议具有相当的安全性.   Kerberos协议分为两个部分: 1 . Client向KDC发送自己的身份信息,KDC从Ticket Granting Servi…

1.Princal(安全个体):被认证的个体,有一个名字和口令.(客户端或者服务端) 2.KDC(key  distribution center):是一个网络服务,提供ticket和临时会话密钥. 3.Ticket:一个记录,客户用它来向服务器证明自己的身份,包括客户标识,会话密钥,时间戳. 4.AS(Authentication Server):认证服务器 5.TGS(Ticket Grantion Server):许可证服务器 6.TGT:Ticket-grantion Ticket Ke…