Win2k/Un sistema operativo più sicuro?

Per saperlo fino in fondo non resta che attendere la sua diffusione, nel frattempo possiamo analizzare le principali novità sul lato della sicurezza presenti in Windows 2000

Rispetto al suo predecessore, Windows 2000 offre notevoli migliorie nella sicurezza: una di queste è rappresentata dal protocollo primario per l'autenticazione, Kerberos.

Sebbene siano sempre supportati NT LAN Manager (protocollo utilizzato da tutte le versioni di NT) e il Secure Socket Layer/Transport Layer Security (SSL/TLS), Kerberos 5 è adesso il protocollo primario per la sicurezza.

Kerberos nasce da un progetto del MIT, chiamato Athena, sviluppato in un periodo di tempo che va dal 1980 ai primi anni 90.
Tale progetto cercò di superare i tradizionali metodi per l'autenticazione sviluppando un sistema più resistente agli attacchi degli hacker ed allo sniffing.
Invece di mandare della password in chiaro sulla rete, Kerberos usa la crittazione per autenticare i client e garantirgli così l'accesso alla rete.
Kerberos 5, oltre che essere il più utilizzato protocollo di autenticazione e certificazione nelle intranet, è divenuto anche uno standard di Internet.
Il protocollo di sicurezza Kerberos utilizza il Data Encryption Standard (DES) e il meccanismo della chiave pubblica/privata per l'autenticazione. Una chiave può essere sia pubblica (conosciuta da due o più parti) che privata (da una persona sola). In Kerberos, sia il client che il service condividono la password crittata che è conosciuta come session key. Il Kerberos service certifica il biglietto che tra le altre cose contiene il nome dell'utente, la session key e la data di scadenza del biglietto stesso. Se il biglietto scade durante la transazione, il Kerberos service informa il client che il biglietto non è più valido e genera una nuova session key, cosicché la sessione possa essere riesumata. Il ticket iniziale permette a Windows 2000 di autenticare il client sul network affinché possa accedere alle risorse del network usando login e password una volta sola.

Kerberos è costituito da più sottoprotocolli e può operare attraverso i domini. I key distribution center (KDC) e il Kerberos authentication service sono eseguiti come servizi su ogni domain controller. Il Kerberos client risiede su tutti i client ed i server Windows 2000.

Kerberos si può suddividere in tre principali componenti:
- l'AS (Authentication Service), il database centrale che contiene tutte le informazioni sugli utenti
- chi manda la richiesta (o client)
- chi certifica (o server)

I Kerberos client possono così provare la loro identità al server senza mandare le password sulla rete. Ad esempio, se un client vuole condividere una cartella su di una risorsa di sistema come il file server, questi sono i passi da seguire:

1. il client richiede l'autenticazione da un authentication server, come il domain controller;
2. il server crea due coppie della session key e le manda al client in un messaggio crittato che contiene la chiave privata del client e la chiave privata della risorsa di sistema. La session key contiene una marca temporale che previene chiunque dal catturare i pacchetti con un protocol analyzer, per poi rimandarli indietro ed ingannare così il server;
3. il client manda le copie della session key alla risorsa di sistema, che userà la sua chiave privata per decrittarle;
4. il client che adesso è certificato, può comunicare con il server poiché entrambi condividono la session key;
5. è' inoltre prevista la possibilità che il client chieda a Kerberos di autentificare il server in modo più stretto.

Windows 2000, grazie al modello di sicurezza del Kerberos, fornisce non pochi vantaggi rispetto ai protocolli di autenticazione tradizionali, tra i quali:
- autenticazione transitiva nella certificazione tra domini diversi: un Kerberos server, riconosce come certificata qualsiasi autenticazione fatta da un altro Kerberos server di un altro dominio sia interno che esterno.
Ad esempio, se il dominio A accredita B e B accredita C, allora anche A accredita C.
- Autenticazione efficiente: qualsiasi server Windows 2000 può verificare le credenziali di un client senza controllare con i Kerberos service sul domain controller.
- Mutua autenticazione tra il client e il server: Kerberos non solo certifica il client, ma se quest'ultimo lo richiede, può autenticare anche il server.
- Delega autenticazione: se la transazione del client richiede di andare su più server, il server verificatore può certificare il client ai server richiesti a favore di quest'ultimo. E' possibile settare un numero illimitato di server consecutivi a cui delegare la certificazione.

Kerberos rappresenta un grosso cambiamento nel modo in cui un sistema operativo certifica i client su una rete di Windows. L'interoperabilità di Kerberos permette a Windows 2000 di autenticare anche i client di altre piattaforme, come Unix, sempre che tali client implementino Kerberos 5.
TAG: sicurezza