Windows Server 2008 R2

Server Security 2008 R2 Public Key Infrastructure (PKI) Kerberos V5

Active Directory 2008 R2 Advanced ADS 2008 R2/2003

Failover Cluster 2008 R2

Terminal Server 2008 R2

SCVMM 2008 R2 Operations Manager 2007 R2 Advanced SCOM 2007 R2 App-V 2010

Exchange Server 2010 Advanced Exchange HA (Exchange 2010) Advanced Exchange CCR Exchange Disaster Recovery

Kerberos V5
- Active Directory 2003/2008 R2 -

SCHULUNGSZIEL
Das Authentifizierungsprotokoll in einem Active Directory Forest ist standardmäßig KERBEROS V5. Wenn jedoch Applikationen nicht korrekt konfiguriert sind, wird automatisch das "schwächere" NTLM-Protokoll eingesetzt. Höhere Sicherheit bei der Authentifizierung bekommt man nur mit Kerberos und noch besser in Kombination mit Smart Card, weil kein Password-Hash in der Pre-Authentication Phase über die Leitung zum KDC verschickt wird. Das Thema Kerberos ist hoch komplex und wird daher in diesem Spezialkurs behandelt. Im Kurs lernen Sie die Microsofts Kerberos V5 Implementierung in einem Active Directory 2003/2008 R2 Forest in Details kennen. Neben der Kerberos-Authentifizierung von Windows Clients mit und ohne Smart Card (PKINIT) wird auch Open Source Client am Beispiel von OpenSUSE praktiziert. Am Beispiel von Benutzer- bzw. Computer-Anmeldung (zunächst ohne Smart Card) in einer Active Directory Domäne analysieren wir die Kommunikation zwischen Client, Resourceserver und Domain Controller (KDC Key Distribution Center) und lernen dabei das Kerberos V5-Protokoll kennen. Das auf Symmetric Key basierte Kerberos Protokoll arbeitet mit diversen Keys um den Austausch der Symmetric Keys über das Netzwerk zu schützen. Session Keys (Short-Term Key) werden zwischen zwei Partnern eingesetzt und ausgetaucht. Sie werden wiederum vom jeweiligen (User, Server, KDC)  Master Key (Long-Term Key) verschlüsselt. Die verschlüselten Session Keys bzw. Tickets: TGT (Ticket Granting Tickets) von Authentication Service (AS) und TGS (Ticket Granting Service Tickets) von Ticket-Granting Service (TGS), bilden so die Grundlage von Kerberos. Wir studieren die Kerberos-Authentifizierung einer Multi-Domänen-Umgebung mit Root- und Subdomänen (siehe Bild) um die Mehrfachausstellung von TGT zu zeigen und dass diese Authentifizierungswege durch Shortcut-Trust zwischen Account- und Resource-Domäne verkürzen kann. Auch die Gruppenmitgliedschaft und Gruppentypen beeinflussen die Größe des Access Token und somit das PAC Feld (Privilege Attribut Certificate) eines Kerberos TGT.  Die Kerberos Mutual Authentication verlangt, dass Computerkonten bzw. Dienstkonten die sog. Service Principal Name (SPN) registrieren. Virtual Instanzen z.B. vom Failover Cluster müssen wegen der Mutual Authentication "virtuelle Computerkonten" in AD besitzen um u.a. SPN registrieren zu können. Die korrekte Implementierung und Anwendung von Kerberos wird von verschiedenen Faktoren beeinflusst, wie beispielsweise DNS, Ticketlaufzeiten, SPNs, Delegierung, Impersonation etc. Nur wenn alle betroffenen Komponenten einwandfrei in einander greifen ist eine Authentifizierung über das Kerberosprotokoll sicher gestellt. Eine "kerberos-fähige" Anwendung wie z.B. SharePoint 2007 arbeitet standardmäßig nur mit NTLM, wenn diese nicht extra für die Kerberos Authentifizierung korrekt konfiguriert wird. Kerberos Tickets können delegiert werden. Durch sog. "Constrained Delegation" kann der Delegierungszweck (z.B. nur für CIFS) fein ausgewählt werden. Neben Constrained Delegation gehört die sog. Protocol Transition zu den Kerberos Extension für "kerberized" Anwendungen, die wir im Kurs auch kennenlernen. Das Auditing von Domänen- und Netzwerkanmeldungen liefert Ereignisse zu Kerberos- und NTLM-Authentifizierung, die wir analysieren lernen. Dadurch können Ursachen bei Fehlanmeldungen und "Zwang-NTLM-Anmeldungen ermittelt werden. NTLM-Blocking Richtlinien können bei 2008 R2 Servern aktiviert werden um "undichte" Anwendungen, die statt Kerberos nur NTLM-Authentifierung nutzen, zu lokalisieren. Ziel des Kurses ist, dass Teilnehmer ein solides Wissen über Kerberos V5 in einem Active Directory Umgebung bekommen und auch in die Praxis umsetzen können, um die Gesamtsicherheit von Active Directory und Anwendungen zu erhöhen. Praktische Übungen und Demo runden dieses Wissen ab (abhängig von Teilnehmerwünschen und verfügbarer Zeit):
- Analysieren, warum eine Anwendung nicht Kerberos, sondern das NTLM-Protokoll nimmt?
- Konfigurieren von Constrained Delegation
- Konfigurieren von SharePoint 2007 für Kerberos-Authentifizierung für eine Webseite.
- Analysieren der Benutzer-/Computer-Authentifizierung an einem 2008 R2 RODC (Read-Only-Domain Controller) --> Optional.
- Analysieren von Encryption Type unterschiedlicher Kerberos Clients (XP, VISTA, Windows 7 etc...).
- Konfigurieren eines OpenSUSE Client als Kerberos V5 und SMB-Client für die Aufnahme in AD.
- Weitere Übungen. Dieser Kurs wird durch die Kurse PKI2008-R2, ADS2008, AdvADS sowie SEC2008R2 ergänzt.

Cerberus

Kerberos Authentifizierung am 2008 R2 RODC