הדגמה של SSO

בלי כתוביותעם כתוביות

מילון מושגים:

SSO - כניסה יחידה: מנגנון שמאפשר למשתמש להתחבר פעם אחת ולגשת לכמה מערכות בלי להזדהות מחדש בכל אחת.

ענן - אספקת משאבי מחשוב כשירות דרך האינטרנט, כמו שרתים, אחסון ותוכנות, במקום להחזיק אותם מקומית.

Kerberos - פרוטוקול אימות המבוסס על כרטיסים (tickets), המשמש ברשתות Active Directory לאימות מאובטח של משתמשים ושירותים.

דפדפן - תוכנה שמציגה דפי אינטרנט ומריצה את הקוד שבהם, ומאפשרת לגלוש בין אתרים, למשל Chrome או Firefox.

רג'יסטרי - מסד נתונים מרכזי ב-Windows ששומר הגדרות של מערכת ההפעלה ושל תוכנות מותקנות.

HTTP - פרוטוקול להעברת דפי אינטרנט ונתונים בין דפדפן לשרת. הגרסה המאובטחת שלו היא HTTPS.

GPO - אובייקט מדיניות קבוצתית ב-Active Directory, שמכיל הגדרות ומדיניות המוחלות על משתמשים ומחשבים.

פישינג - ניסיון הונאה שבו תוקף מתחזה לגורם מהימן כדי לגרום לקורבן למסור פרטים רגישים כמו סיסמאות.

הדגמה של SSO

הדגמה של SSO בפועל: משתמש שנכנס לאתר ענן בלי להקליד סיסמה, בזכות כרטיס Kerberos שהדפדפן שולח ל-Microsoft. זה חשוב כדי שמשתמשים לא יצטרכו לנהל סיסמאות לכל אתר.

איך זה עובד

1. בדיקת המשתמש והכרטיסים: whoami מראה שהמשתמש הוא david בדומיין. הפקודה klist מציגה את הכרטיסים מה-DC, למשל כרטיס CIFS לשיתופים, שבזכותו \\DC1 לא מבקש שם וסיסמה. בזמן ההדגמה היו חמישה כרטיסים. Kerberos עובד בכרטיסים ולא בשם וסיסמה.

2. למה בהתחלה מבקש סיסמה: בכניסה ל-[email protected] מתבקשת סיסמה, כי הדפדפן לא שולח כרטיסים לאתרים כברירת מחדל. צריך לאשר לו לשלוח לאתרי Microsoft.

3. ההגדרה ב-Registry: קובץ .reg מוסיף תחת Microsoft את המפתח Edge ושני ערכי מחרוזת. אפשר להכניס אותם ידנית ב-regedit או לייבא את הקובץ (פתיחה עם Registry Editor, אישור האזהרה). אחרי רענון המפתחות מופיעים.

4. תוצאה: אחרי הפעלה מחדש, ב-office.com מקלידים רק את שם המשתמש, ואין בקשת סיסמה. בפרופיל מופיע [email protected], ו-klist מראה כרטיס חדש מסוג HTTP לאוטו לוגון של Microsoft SSO.

5. בדיקת המדיניות: ב-Edge, edge://policy מציג את המדיניות שהגיעה מה-registry, ובכל הארגון אפשר להחיל אותה דרך GPO. ב-Chrome אותו דבר, כי Edge מבוסס על מנוע Chrome.

למה passwordless

הרעיון הוא שהמשתמש מקליד סיסמה אחת בכניסה למחשב ולא יותר. כך אתר פישינג שמבקש סיסמה יעורר חשד, ושימוש באותה סיסמה בכל אתר לא ייחשף אם אתר אחד ייפרץ.

בסיום אפשר להפעיל SSO לדפדפן Edge או Chrome בשיטת registry או GPO ולבדוק אותו עם klist.

השיעור הבא בקורס: הסבר על דומיין היברידי Hybrid AD Domain

פרקי ההרצאה: הדגמה של SSO

תמלול ההרצאה: הדגמה של SSO

הטקסט המלא של הדקות הראשונות בהרצאה «הדגמה של SSO» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.

00:02
שלום לכולם. בהרצאה זו אנחנו נראה איך SSO עובד בפועל במציאות. זה אומר שהיוזר שלנו לא יצטרך להקיש סיסמה כשהוא נכנס לאתר אינטרנט וזה מאוד, מאוד חשוב שהיוזרים לא יצטרכו לנהל הרבה סיסמאות עבור כל אתר.
00:20
קודם כל בואו נראה מי זה היוזר שלי. היוזר שלי ב-Who am I זה דיוויד מתוך הדומיין של Practicu. ובואו נבדוק איזה טיקטים של אימות הוא קיבל מ-Active Directory משרת DC.
00:34
נעשה K list ונראה שיש לו לדוגמה טיקט מספר ארבע עבור שיתופים. CIFS זה שפת השיתופים לשרת DC. בזכות הטיקט הזה, כרטיס האימות כשאני אגש לשרת DC אחד שני סלאשים DC אחד לצורך שיתוף השרת לא יבקש ממני שם וסיסמה.
00:53
הוא יודע שזה אני כי הצגתי לו את הטיקט הזה, את הכרטיס כניסה הזה ואני רוצה שהענן יזהה אותי עם הטיקט. שימו לב כרגע יש לי טיקט של CIFS, של LDAP. סך הכול יש לי חמישה טיקטים כרגע.
01:08
אם הייתי ניגש לעוד שרת אז הייתי גם מקבל עבורו טיקט. את הטיקטים האלו מנפיק לי שרת DC וככה מזהים אותי ברשת. זאת השיטה שבה עובד הקרברוס על ידי הטיקטים האלו, כרטיסי אימות.
01:21
במקום להשתמש שם וסיסמה לאימות משתמשים בטיקטים. אם אני אנסה לעשות sign in הוא ישאל אותי איך קוראים לי. אני אכתוב לו david-strudel-practicu.com ושימו לב מה הוא יעשה.
01:33
הוא יבקש ממני סיסמה. זה אומר ששום טיקט לא נשלח לענן, כי דפדפן כברירת מחדל לא מעביר לאתרי אינטרנט את הטיקטים שלי. צריך לאשר לו להעביר טיקט ל-login.microsoft.com.
01:50
אז בואו נפתח את קובץ ה-registry הזה.