Win2k/Un sistema operativo più sicuro?

Rispetto al suo predecessore, Windows 2000 offre notevoli migliorie nella sicurezza: una di queste è rappresentata dal protocollo primario per l’autenticazione, Kerberos.

Sebbene siano sempre supportati NT LAN Manager (protocollo utilizzato da tutte le versioni di NT) e il Secure Socket Layer/Transport Layer Security (SSL/TLS), Kerberos 5 è adesso il protocollo primario per la sicurezza.

Kerberos nasce da un progetto del MIT, chiamato Athena, sviluppato in un periodo di tempo che va dal 1980 ai primi anni 90.
Tale progetto cercò di superare i tradizionali metodi per l’autenticazione sviluppando un sistema più resistente agli attacchi degli hacker ed allo sniffing.
Invece di mandare della password in chiaro sulla rete, Kerberos usa la crittazione per autenticare i client e garantirgli così l’accesso alla rete.
Kerberos 5, oltre che essere il più utilizzato protocollo di autenticazione e certificazione nelle intranet, è divenuto anche uno standard di Internet.

Il protocollo di sicurezza Kerberos utilizza il Data Encryption Standard (DES) e il meccanismo della chiave pubblica/privata per l’autenticazione. Una chiave può essere sia pubblica (conosciuta da due o più parti) che privata (da una persona sola). In Kerberos, sia il client che il service condividono la password crittata che è conosciuta come session key. Il Kerberos service certifica il biglietto che tra le altre cose contiene il nome dell’utente, la session key e la data di scadenza del biglietto stesso. Se il biglietto scade durante la transazione, il Kerberos service informa il client che il biglietto non è più valido e genera una nuova session key, cosicché la sessione possa essere riesumata. Il ticket iniziale permette a Windows 2000 di autenticare il client sul network affinché possa accedere alle risorse del network usando login e password una volta sola.

Kerberos è costituito da più sottoprotocolli e può operare attraverso i domini. I key distribution center (KDC) e il Kerberos authentication service sono eseguiti come servizi su ogni domain controller. Il Kerberos client risiede su tutti i client ed i server Windows 2000.

Kerberos si può suddividere in tre principali componenti:
– l’AS (Authentication Service), il database centrale che contiene tutte le informazioni sugli utenti
– chi manda la richiesta (o client)
– chi certifica (o server)

I Kerberos client possono così provare la loro identità al server senza mandare le password sulla rete. Ad esempio, se un client vuole condividere una cartella su di una risorsa di sistema come il file server, questi sono i passi da seguire:

1. il client richiede l’autenticazione da un authentication server, come il domain controller;
2. il server crea due coppie della session key e le manda al client in un messaggio crittato che contiene la chiave privata del client e la chiave privata della risorsa di sistema. La session key contiene una marca temporale che previene chiunque dal catturare i pacchetti con un protocol analyzer, per poi rimandarli indietro ed ingannare così il server;
3. il client manda le copie della session key alla risorsa di sistema, che userà la sua chiave privata per decrittarle;
4. il client che adesso è certificato, può comunicare con il server poiché entrambi condividono la session key;
5. è’ inoltre prevista la possibilità che il client chieda a Kerberos di autentificare il server in modo più stretto.

Windows 2000, grazie al modello di sicurezza del Kerberos, fornisce non pochi vantaggi rispetto ai protocolli di autenticazione tradizionali, tra i quali:
– autenticazione transitiva nella certificazione tra domini diversi: un Kerberos server, riconosce come certificata qualsiasi autenticazione fatta da un altro Kerberos server di un altro dominio sia interno che esterno.
Ad esempio, se il dominio A accredita B e B accredita C, allora anche A accredita C.
– Autenticazione efficiente: qualsiasi server Windows 2000 può verificare le credenziali di un client senza controllare con i Kerberos service sul domain controller.
– Mutua autenticazione tra il client e il server: Kerberos non solo certifica il client, ma se quest’ultimo lo richiede, può autenticare anche il server.
– Delega autenticazione: se la transazione del client richiede di andare su più server, il server verificatore può certificare il client ai server richiesti a favore di quest’ultimo. E’ possibile settare un numero illimitato di server consecutivi a cui delegare la certificazione.

Kerberos rappresenta un grosso cambiamento nel modo in cui un sistema operativo certifica i client su una rete di Windows. L’interoperabilità di Kerberos permette a Windows 2000 di autenticare anche i client di altre piattaforme, come Unix, sempre che tali client implementino Kerberos 5.


Uno dei punti di forza di Windows 2000 sarà data dalla maggior stabilità del sistema e dalla drastica riduzione del numero di reboot. Per garantire questo, Microsoft ha puntato sulla certificazione dei driver per le periferiche e sulla certificazione delle applicazioni.

Nell’attesa che vengano rilasciate della applicazioni progettate esplicitamente per Windows 2000, bisognerà vedere quanto correttamente funzioneranno le vecchie. Sebbene Microsoft ufficialmente sostenga che circa 7.000 applicazioni sono “Windows 2000-ready”, questo non attesta che funzionino al meglio.

Il nuovo metodo di certificazione di Microsoft vuole assicurare a tutti i manager dell’ I.T. che non solo le applicazioni certificate funzioneranno, ma che lo faranno bene: un’applicazione certificata non farà alcuna chiamata di sistema illegale o non andrà in conflitto con altre applicazioni.

A tutt’oggi, sono poco più di 40 le applicazioni certificate come
Windows 2000-ready e ci si chiede se tale programma di certificazione non sia partito in ritardo considerando che Windows 2000 è stato in beta testing per parecchio tempo.
Da notare che neanche Office 2000 è stato certificato prima del lancio ufficiale di Windows 200.
A giustificazione del lancio ritardato del programma di certificazione, Peter Ollodart, group manager della divisione Windows marketing di Microsoft, ha detto che tale processo di certificazione non poteva cominciare finché non fossero state stabilite le caratteristiche finali di Windows 2000, inoltre i criteri per la certificazione sono stati stabiliti da Microsoft insieme con i suoi principali clienti e rivenditori per oltre un anno.
Qualcuno ha però fatto notare che Microsoft potrebbe utilizzare il programma di certificazione come mezzo per danneggiare le compagnie che sviluppano applicazioni nello stesso settore di Microsoft come Corel .
In merito a tale argomento, Ollodart ha detto che tali cose non succederanno e che chiunque potrà fare i test per la certificazione.

Attualmente sono certificate le seguenti applicazioni:

– Caere OmniPage Pro (OCR software)
– Damgaard Axapta (ERP)
– Executive Software Diskeeper (disk defragmentation)
– Gemplus GemSAFE (smart card software)
– Navision Software (financial)
– WRL Reflection (host access)

A brevissimo termine dovrebbero essere certificate le seguenti applicazioni:

– Office 2000
– Microsoft Project
– Alibre (Web collaboration)
– Parametric Technology Corp. (CAD/CAM)
– Microsoft SQL Server “Shiloh” (due first-half 2000)
– Microsoft Exchange 2000 (due first-half 2000)
– Symantec pcAnywhere
– Microsoft – Autodesk (CAD/CAM)

Giovanni Fleres