热门问题
时间线
聊天
视角

SSPI

来自维基百科,自由的百科全书

Remove ads

安全支持提供者接口(英語:Security Support Provider Interface,縮寫SSPI)是Microsoft Windows操作系統中用於執行各種安全相關操作(如身份驗證)的一個Win32 API

SSPI的功能是作為眾多安全支持提供程序(SSP)的通用接口[1]:安全支持提供者(Security Support Provider)是可以為應用程序提供一種或多種安全功能包的動態鏈接庫dynamic-link library)。

Windows SSP

下列SSP已經在Windows中預裝:

  • NTLM英語NTLMSSPWindows NT 3.51中引入)(msv1_0.dll) - 為Windows 2000之前的客戶端-服務器域和非域身份驗證(SMB/CIFS)提供NTLM英語NTLM質詢/響應身份驗證。[2]
  • KerberosWindows 2000中引入,Windows Vista中更新為支持AES[3] (kerberos.dll) - Windows 2000及更高版本中首選的客戶端-服務器域相互身份驗證。[4]
  • Negotiate英語SPNEGO(Windows 2000中引入)(secur32.dll) - 選擇Kerberos,如果不可用則選擇NTLM協議。協商SSP提供單一登入能力,有時稱為集成Windows身份驗證英語Integrated Windows Authentication(尤其是用於IIS時)。[5]Windows 7及更高版本中,NEGOExts引入了協商使用客戶端和服務器上支持的已安裝定製SSP進行身份驗證。
  • 安全通道(也稱SChannel) - Windows 2000中引入,Windows Vista中更新為支持更強的AES加密和ECC[6]該提供者使用SSL/TLS記錄來加密數據有效載荷。(Schannel.dll)
  • PCT英語Private Communications Technology(過時)和微軟的TLS/SSL - 公開密鑰加密 SSP為通過互聯網的客戶端和服務器進行身份驗證,提供加密和安全通信。[7]Windows 7中更新為支持TLS 1.2。
  • 摘要SSPWindows XP中引入)(wdigest.dll) - 在Windows與Kerberos不可用的非Windows系統間提供基於HTTP和SASL身份驗證的質詢/響應。[8]
  • 憑據 (CredSSP)(Windows Vista中引入,Windows XP SP3上也可用)(credssp.dll) - 為遠程桌面連接提供單點登錄(SSO)和網絡級身份驗證[9]
  • 分布式密碼驗證(DPA) - (Windows 2000中引入)(msapsspc.dll) - 提供使用數字證書完成的互聯網身份驗證。[10]
  • 用戶對用戶的公開密鑰加密技術(Public Key Cryptography User-to-User,PKU2U)(Windows 7中引入)(pku2u.dll) - 在不隸屬域的系統之間提供使用數字證書的對等身份驗證。
Remove ads

比較

SSPI是GSSAPI英語Generic Security Services Application Program Interface的一個專有變體,進行了擴展並具有許多特定於Windows的數據類型。最早隨Windows NT 3.51Windows 95中的NT LAN管理器英語NTLM安全支持提供程序英語NTLMSSP(NTLMSSP)出現。在Windows 2000中,增加了一個Kerberos 5的實現,使用符合官方協議標準RFC 1964 (Kerberos 5 GSSAPI機制)的令牌格式並提供提供與其他供應商的Kerberos 5實現的線級互操作性。

SSPI生成和接受的令牌大多與GSS-API兼容,因此Windows上的SSPI客戶端可能能夠根據具體情況與Unix上的GSS-API服務器進行身份驗證。SSPI的一個重要缺點是缺乏通道綁定,這使得不可能做到一些GSSAPI的互操作性。

互聯網工程任務組(IETF)定義的GSSAPI與微軟SSPI的另一個根本區別是「扮演英語Access token#Types of tokens」概念。在這種模式下,一個服務器可以切換成經過身份驗證客戶端的「完整」特權並進行操作,以便操作系統執行完整的存取控制檢查。所持權限高於或低於原始權限全取決於哪個客戶端在連接/驗證。在傳統(GSSAPI)模型中,當服務器運行在服務帳戶下時,其不能提升自己的特權,並必須以特定客戶端或應用程序的方式執行訪問控制。而在Windows Vista中通過將扮演限制在選定的服務帳戶,限制了「扮演」概念帶來的顯著安全隱患。[11]

Remove ads

參考資料

外部連結

Loading related searches...

Wikiwand - on

Seamless Wikipedia browsing. On steroids.

Remove ads