IIS Client Certificate Mapping Authentication
פרקי ההרצאה: IIS Client Certificate Mapping Authentication
תמלול ההרצאה: IIS Client Certificate Mapping Authentication
הטקסט המלא של הדקות הראשונות בהרצאה «IIS Client Certificate Mapping Authentication» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.
שלום לכולם בהרצאה הזאת אנחנו נלמד לאמת משתמש על ידי תעודה דיגיטלית ונקשר בין תעודה ליוזר במערכת אז תראו יש לנו פה תיקייה שנקראת A ובפנים יש איזשהו קובץ 1 נקודה טקסט אוקיי אנחנו אומרים דבר כזה שב-SSL כל מי שנכנס כל יוזר חייב להציג תעודה דיגיטלית Required
Client Certificate Required אי אפשר להיכנס לתיקייה הזאת ספציפית רק אליה בלי שתציג לי תעודה דיגיטלית כל שאר האתר פתוח זאת תיקייה סודית זאת תיקיית ניהול יפה אז תעודה דיגיטלית אפשר אז כשאני בא להיכנס הוא מבקש ממני כקליינט תציג לי תעודה ואני מציג לו תעודה של היוזר מי שלא יודע איך מייצרים תעודה של
היוזר ואיך עושים עד כאן צריך לראות את הסרט הקודם עשיתי את הכל זה בסרט הקודם זה חזרה קצרה ועכשיו נמשיך הלאה נחבר בעצם תעודה ליוזרנם ופסוורד ספציפי כרגע אנחנו מציגים תעודה ועוברים עימות של התעודה אבל עם איזה שם וסיסמה הגענו למערכת ההפעלה עם איזה יוזר הגענו לתוך מערכת ההפעלה
זאת השאלה המעניינת שעד עכשיו לא התעסקנו בה נכון ששכבת הטרנספורט בדקה לנו תעודה והעביר אותנו הלאה אבל עם איזה שם וסיסמה העביר אותנו פנימה זאת אומרת שאם אנחנו נלך עכשיו לתיקייה הזאת באופן פיזי אתם תראו שמבחינה פיזית על התיקי הזאתי איזה הרשאות יש לנו ובסיקיוריטי אתם יכולים לראות בואו נעשה advanced שיהיה לנו יותר יפה
אתם יכולים לראות שיש פה כל מיני יוזרים אז אני אומר שהמערכת העביר אותנו עם יוזר שנקרא ISUSR שזה בעצם יוזר אנונימוס זאת אומרת המערכת אחרי שבדקה לנו תעודה דיגיטלית הכניסו אותנו פנימה כיוזר אנונימי אנחנו לא יודעים להפריד אם זה יוני או שזה יוסי או שזה איזשהו יוזר אחר נכון עברנו בדיקה בכניסה בגטוויי כביכול אבל על הפנימה אנחנו לא
ממופים ליוזרניים ספציפי לא משוייכים ליוזרניים ופספורט ספציפי אולי אני אדגים לכם את זה יותר טוב אם אני אעשה דבר כזה אני אני הולך להדגים לכם ולהוכיח לכם את הטענה הזאת אבל לפני כן אני רק רוצה להראות לכם איפה אתם קובעים את זה ב-IS תראו ב-IS יש לכם חוץ מ-SSL Settings, Authentication, אימות.
וכרגע יש לי רק אנונימוס באימות, באותטיקיישן, עוד פעם, אני חוזר עוד פעם, באותטיקיישן על התיקייה, יש לי רק אנונימוס.
אם אני אחסום אנונימוס לכולם אסור יהיה להיכנס פנימה ואף אחד לא ייכנס. אוקיי? תראו את זה. הנה, אני עובר אימות של תעודה דיגיטלית, אבל פנימה לא יכול להיכנס כי אין לי authorization להיכנס פנימה.
יפה מאוד. אם אני מאפשר עם מייבולד אני כן יכול להיכנס פנימה, אבל כאנונימוס אבל במערכת הפעלה אתם לא רואים אנונימוס במערכת הפעלה אתם כשאתם מגיעים אליה אתם מגיעים כ-ISUSR.
בואו אני אראה לכם כזה דבר שכרגע אני יכול להיכנס כל עוד היוזר הזה פה אני אוכל להיכנס פנימה אתם רואים אני יכול להיכנס פנימה אם אני מעיף את היוזר הזה IUSR וגם יוזרס באופן כללי משאיר רק אדמיניסטרטור פה בעצם בואו נעיף את כולם כדי שככה תראו את זה ממש טוב.
עייפתי את כולם, השארתי רק אדמיניסטרטור שיהיה לי נוח לעבוד. אני עכשיו בא להיכנס פנימה, עובר עימות בשכבה של טרנספורט, בשכבה של תעבורה של SSL, אבל אין לי כניסה פנימה לתוך תיקייה.
אם אני מוסיף יוזר שנקרא IUSR, אם אני מוסיף יוזר שקוראים לו IUSR וזה יוזר במערכת הפעלה שנוצר כמו כל יוזר רגיל אבל בזמן התקנה של IS, בזמן ה-IS נוצר לי יוזר באופן אוטומטי, והמחשב הזה הוא לא בנומיין, ברגע שהוספתי את ה-IUSR הזה, אני כן יכול להיכנס פנימה.
מה שמוכיח את הטענה ש-user anonymous ב-IS ממופה ל-user IUSR. עכשיו אני לא רוצה לתת לכל אחד להיכנס פנימה גם אחרי בדיקה של תעודות דיגיטליות. תחשבו שיש לי 100 אנשים שקיבלו תעודות דיגיטליות לכל מיני מטרות שונות, ולתיקי הזאת אני רוצה לתת רק ליוזר מסוים להיכנס פנימה.
אז בואו נעיף את האנונימוס ונוסיף איזשהו יוזר למערכת הפעלה ולהרשאות פה. אז בואו נלך ל... וזה שרת 2012 R2, כן? ריליסט 2, גרסה יותר חדשה שעולה עוד כסף.
זה לא Windows Update, זו גרסה יותר משוכללת של שרת 2012 R2, ריליסט 2, שמי שרוצה לקבל את זה צריך לקנות את הגרסה הזאת.
זה לא 2012 רגיל שעושים לו Update, זה R2. זה למי שממשק קצת שונה. מה שאני מסביר לכם דרך אגב, זה אותו דבר גם ב-2008, בשרתי 2008, ב-2008 R2, ב-2012 וב-2012 R2, זה בדיוק אותו דבר, כן?
כל מה שאני מסביר לכם כאן תקף גם לכל הגרסאות של ה-IS 7 ומעלה, שזה 2012, 2008 ומעלה.
דרך אגב, ב-2003 היה סיפור דומה, רק הממשק היה נראה קצת אחרת. אז עשיתי יוזר יוני ואני הולך לתיקייה בהרדיסק שאליה ממופה האתר ובפרופרטיז בסקיוריטי מוסיף פה שרק ליוני יש אישור גישה רק ליוני יש read על התיקייה יפה מאוד יוני ואתם יודעים מה אפילו אדמיניסטרטור אני אעיף רק יוני יש לו גישה לתיקייה הזאת יופי
אפילו תוכנת גיבוי לא תוכל להיכנס פנימה כי תוכנת גיבוי נכנסת כיוזר שקוראים לו סיסטם אבל אבל לצורך הלימוד זה מאוד מאוד חשוב ככה שתראו איך זה עובד את המערכת מבפנים.
אז יש לנו יוזר יוני שיכול להיכנס פנימה לתוך התיקייה הזאת. עכשיו, אבל אין לנו פה מנגנון אימות ב-IS.
תסתכלו, מה שיקרה ב-IS שהוא יודע להכניס יוזרים רק בצורה אנונימוס. לא הוספנו פה מודול שיודע לשאול שם וסיסמה בתוך ה-IS.
אז אם אני אנסה להתחבר עכשיו אני עובר בדיקה של SSL ואז אני נופל. למה אני נופל? כי הוא מכניס אותי כאנונימוס ובתוך access list של מערכת ההפעלת NTFS הוא אומר לו לך מפה.
זאת אומרת NTFS זורק אותו החוצה ואתם יכולים לראות פה שהוא נכנס כאנונימוס פנימה. יפה, אנחנו צריכים להוסיף לפה מודול שיודע לתת לי אימות של שם וסיסמה בתוך ה-IS ולהכניס אותי לתוך מערכת ההפעלה לתוך NTFS עם איזשהו שם וסיסמה.
אז אנחנו נלך לרולים, לתפקידים, ונוסיף עוד כזה פיצ'ר או תוספת בתוך רול של ה-IS. איפה יש לנו ה-IS? נוסיף פה תפקיד ב-Security, אתם רואים ב-Security, שנקרא Basic Authentication.
Basic Authentication זה לשאול שם וסיסמה ולהעביר אותם על הקו בצורה די גלויה, בצורה גלויה, לא מוצפנת, ואז אתה נכנס למערכת ההפעלה עם השם והסיסמה הזה.
השיטה Basic Authentication, בניגוד לדוגמה לווינדוס אותיטיקיישן לא משתמשת ביוזרנם ופספורט שאיתם עשיתי לוגין. היא פשוט שואלת אותך שם וסיסמה ומכניסה אותך פנימה.
ווינדוס אותיטיקיישן יודע לנסות לבדוק האם היוזר שיש לך עכשיו האם הטיקט של קרברוס שיש לך עכשיו מספיק טוב בשביל להמשיך הלאה פנימה אוקיי. זה עושה לוגין שקוף אוקיי וזה דורש שם וסיסמה בצורה מפורשת.
אני בכוונה עושה Basic Authentication כדי שממש נראה את זה טוב, איך זה עובד המנגנון הזה. ה-Windows Authentication יש לו יתרונות בארגון אינטרנט ב-IS פנים-ארגוני.
אנחנו עכשיו מדמיין מצב שיש לנו אתר IS חיצוני ואין Active Directory בכלל. אז אני עושה Basic Authentication, הוא לא מאובטח, הוא חייב SSL, כי הוא ממש מעביר שם וסיסמה בצורה גלויה על הקו.
Windows Authentication, חוץ מזה שהוא מנסה להשתמש ב-Username ו-Password שיש לי כרגע אם הוא לא מצליח הוא נופל או מנסה את השיטה השנייה של ntlm. ntlm זה שם וסיסמה הם לא גלויים על הקו.
ntlm בעצם שואל אתגר אצל הצד השני והצד השני צריך להחזיר לו את האתגר הזה שהוא זרק לו בצורה מוצפנת בצורה נכונה. וכך הוא יודע שאתה יודע את הסיסמה. זאת אומרת הוא זורק לך איזשהו משפט אתה צריך בעזרת הסיסמה להצפין את המשפט ולהחזיר לו חזרה.
אבל אתה לא מעביר את הסיסמה על הקו. ואם הצלחת להצפין אותה כמו שצריך, זה אומר שאתה מבין, שאתה יודע באמת את הסיסמה, כי הצלחת להצפין את זה כמו שצריך.
כך עובד NTLM, אתגר ותשובה, אוקיי? וזאת השיטה לבדוק שאתה באמת יודע את הסיסמה בלי שהעברת לי את הסיסמה על הקו, כי הצלחת להצפין נכון את האתגר שזרקתי לך. ואני יודע כי שרדת את הסיסמה הנכונה, אז אני עושה אותו תהליך ובודק שהתשובה שלך תואמת לתשובה שאמורה להיות.
יפה מאוד. אז כך עובד NTLM. אנחנו עכשיו בבייסיק אותיטיקיישן שהוא מעביר שם וסיסמה בצורה גלויה. בואו נראה את זה.
אי אותיטיקיישן, לא תפס. למה לא תפס? כי צריך לסגור את הכלי הגרפי ולפתוח את הכלי הגרפי. ועכשיו אנחנו בתוך אותיטיקיישן.
יש לנו, אתם רואים אנונימוס ובייסיק. אנונימוס אנחנו מכבים, אין טעם, כי אנונימוס גם ככה לא יכול להיכנס פנימה ברמת ntfs, אני לא מאפשר לו.
ובייסיק, מנגנון בייסיק ישאל אותך שם וסיסמה, ויכניס אותך הלאה עם אותו שם וסיסמה שהבאת. הוא כותב פה SSL מאוד מאוד חשוב בגלל שהשם והסיסמה נשלחים בצורה clear text ממש גלויה על הקו.
בואו נראה מה יקרה עכשיו. עכשיו יש לנו קודם כל SSL בדיקה של SSL בשכבת הטרנספורט. אם אני עובר אותה אני עובר לשכבה הבאה ששולטת אותי שם וסיסמה.
אם אני אכתוב פה אדמיניסטרטור אני לא אכנס פנימה כי לאדמיניסטרטור אין זכות להיכנס פנימה נכון? כי לא נתנו לו הרשאה.
אם אני אעשה יוני אני אוכל להיכנס פנימה כי הבאנו לו הרשאה. זאת אומרת אני יודע עכשיו להיכנס לתוך ה-NTFS דרך ה-IS כיוזר יוני.
אבל שמתם לב מה מעצבן פה, אתם רואים רק יוני. עכשיו מה מעצבן? שיוזר שהגיע עם תעודה דיגיטלית, קודם כל שואלים אותו על תעודה דיגיטלית ואחרי זה שואלים אותו עוד פעם שם וסיסמה.
אז קודם כל ברמת אבטחה זה מצוין, מי שרוצה אבטחה גבוהה גם אם האקר ירצה לפרוץ ולגנוב לי הוא גם צריך לגנוב לי את ההקשות במקלדת שלי או להציץ לי בסיסמה וגם את התעודה הדיגיטלית אבל אם זה לא נוח לי אני יכול תקשיבו אם אני רוצה אבטחה גבוהה אני יכול לעשות להשאיר את זה ככה ויש לי שתי
שכבות אבטחה אבטחה ראשונה ברמה של תעודה דיגיטלית אבטחה שנייה ברמת האפליקציה ואז צריך לגנוב לי את שני הדברים כדי לפרוץ למערכת אבל אם אני רוצה יותר נוחות אני מעדיף קצת יותר נוחות ורמה של תעודה דיגיטלית זה מספיק טוב לי כי את התעודה הדיגיטלית אני נמצאת פיזית בתוך הלפטופ שלי או תעודה דיגיטלית נמצאת אצלי באיזה דיסק און קי או תעודה דיגיטלית
נמצאת לי על כרטיס כזה שאני מכניס פנימה כדי לעבור עימות אם התעודה הדיגיטלית כמערכת אבטחה מספיק טובה לי ואני לא רוצה את השם והסיסמה הזה פה בכניסה אבל מצד שני אני לא רוצה לאפשר אנונימוס כדי שכל מי שיש לו תעודה דיגיטלית יוכל להיכנס לתוך התיקיה הזאת. אני רוצה לוודא שרק יוזר יוני יכול להיכנס פנימה.
הפתרון הוא להגיד למערכת שכל מי שמגיע עם תעודה שמספר הסריאלי שלה כזה וכזה הוא יוני. אל תשאלי אותו יותר שאלות. לעשות מעין מיפוי בין תעודה דיגיטלית ליוזר.
בואו נראה איך אנחנו עושים מיפוי בין תעודה דיגיטלית ליוזר. אז קודם כל אנחנו צריכים להתקין את הרכיב הזה שעושה לנו את המיפוי הזה. בואו נתקין את הרכיב הזה.
הרכיב הזה פה בתוך ה-IS ב-Web ב-Security נקרא Certificate Mapping. שימו לב, יש לנו Certificate Mapping מול Active Directory, מול תורדות שחולקו ב-Active Directory, ויש לנו Certificate Mapping שה-IS עושה בעצמו ללא שום קשר ל-Active Directory.
כרגע אין לנו פה Active Directory, אז אנחנו אומרים לו is client certificate mapping authentication אימות על ידי מיפוי של client certificate mapping אוקיי מיפוי של תעודות דיגיטליות של יוזר ל authentication של windows עושים next next install עכשיו לכלי הזה למודול הזה שמתחיל עכשיו לעבוד אצלנו אין שום ממשק גרפי מה לעשות מייקרוסופט לא ציירו לו
ממשק גרפי ואנחנו נראה בסוף הסרט איך עושים את זה בלי ממשק גרפי אני אראה לכם את התוצאה הסופית איך לעשות את זה בלי ממשק גרפי אבל שיהיה לנו חיים קלים ויפים ונוחים אנחנו נוריד ממשק גרפי שחבר'ה אחרים פיתחו שעושה את העבודה הזאת אז בואו ניכנס לגוגל אני חושב שזה איזה חבר'ה שאיכשהו שייכים למיקרוסופט פיתחו את
זה אבל לא מיקרוסופט עצמם איי אס סרטיפיקייט