arbetsstation Server Linux arbetsstation Användar- katalog Beowulf-system Superdator
Figur 3.3.F¨oreslagen l¨osning. Att samla information om anv¨andare p˚a ett st¨alle skulle underl¨atta administrationen av systemen.
En l¨osning m˚aste vara effektiv, l¨att att administrera och framf¨or allt s¨aker. Vi bed¨ommer att LDAP kan vara en l¨amplig komponent i en s˚adan l¨osning.
Som hj¨arta i v˚ar l¨osning finns en LDAP-server som hanterar anv¨andar- och gruppinformation. OpenLDAP ¨ar en ¨oppen serverl¨osning som kan k¨oras under Li- nux. OpenLDAP kan lagra anv¨andarinformation p˚a ett stabilt och effektivt s¨att som passar situationen.
3.2 F¨oreslagen l¨osning 23
direkt till servern med fr˚agor om autentisering och f¨or att komma ˚at diverse infor- mation.
Det finns f¨or n¨arvarande ingen version av Windows som st¨oder direkt koppling mot en OpenLDAP-server. Om en LDAP-server skall anv¨andas kr¨aver Windows att den f¨oljer Microsofts egna “standard” f¨or LDAP. S˚aledes kan enbart Active Directo- ry anv¨andas. Som systemet var upplagt, anv¨ande sig NSCs Windows-datorer av en Samba-server f¨or autentisering. Denna server f˚ar ers¨atta sin egen databas med an- rop till LDAP-servern.
Systemet ¨ar l¨att att installera och n¨ar det v¨al ¨ar uppe r¨aknar vi inte med mycket underh˚all. Administration av anv¨andare kan enkelt ske med hj¨alp av Perl-skript eller grafiska verktyg.
3.2.1
S¨akerhet
F¨or att uppr¨atta en krypterad f¨orbindelse anv¨ands TLS. N¨ar f¨orbindelsen uppr¨attats med hj¨alp av TLS sker krypteringen transparent f¨or applikationerna. De anslut- ningar det ¨ar fr˚aga om ¨ar de mellan klienterna och servern. Med klienter i detta fall menar vi de arbetsstationer dit anv¨andare vill logga in. Dessa arbetsstationer ansluter sig till LDAP-servern f¨or att verifiera autentiseringsinformation. Eftersom Samba-servern k¨ors p˚a samma dator som OpenLDAP finns det inget sk¨al att kryp- tera f¨orbindelsen mellan dem.
TLS
Nyckelcertifikat
Figur 3.4.F¨orst ¨overf¨ors serverns certifikat till klienten f¨or att s¨akerst¨alla serverns iden- titet. Sedan sker all datakommunikation krypterad med TLS.
Det ¨ar viktigt att kunna kontrollera vilka som har r¨att att l¨asa k¨anslig infor- mation fr˚an v˚ar LDAP-server. Det finns flera olika metoder f¨or att ˚astadkomma detta.
LDAP-servern kommer att konfigureras s˚a att kataloganv¨andare4
m˚aste ange l¨osenord n¨ar de ansluter till den. Beroende p˚a l¨osenordet d¨oljs vissa f¨alt i katalogen. Detta g¨or att vi kan till˚ata anonyma s¨okningar i katalogen f¨or att t.ex. anv¨anda
4
Kataloganv¨andare b¨or inte f¨orv¨axlas med anv¨andare av datorsystem. En post om en anv¨andare i katalogen ¨ags av en kataloganv¨andare. I v˚art fall h¨amtas informationen om den- na kataloganv¨andare ur posten och f˚ar d¨arf¨or samma namn och l¨osenord som datoranv¨andaren. Skillnaden ¨ar vad anv¨andarkontot anv¨ands till.
24 Implementation
katalogen som telefonkatalog. Samtidigt kan samma katalog, med r¨att l¨osenord, anv¨andas i autentiseringsprocessen.
N¨ar man g¨or ett anrop till servern och st¨aller en fr˚aga anv¨ander man n¨amligen ett binddn5
, som identifierar vem man ¨onskar ansluta sig som. En anonym anv¨andare ansluter inte med n˚agot namn och hanteras d¨arf¨or anonymt, medan anv¨andare och administrat¨orer vanligen ansluter sig med sitt eget namn, och tillh¨orande l¨osenord, f¨or att verifiera att den som ansluter sig verkligen ¨ar den den utger sig f¨or att vara. F¨alt som man vill skydda kan vara t.ex. l¨osenord, eller hemliga uppgifter, medan andra uppgifter som epostadress och namn m.m. vanligen ¨ar tillg¨angliga f¨or alla att l¨asa och s¨oka upp.
PAM
NSS
App.skikt
Windows
Linux
arbetsstation
Server
arbetsstation
Samba
LDAP
App.skikt
GINA
LSA
Figur 3.5.Centrala moduler, i arbetsstationer och server, som anv¨ands under autentise- ringsprocesserna.
¨
Aven om dessa l¨osenord kommer att skickas ¨over en krypterad f¨orbindelse kan man fortfarande ut¨oka s¨akerheten ytterligare. Om man begr¨ansar skaran datorer som f˚ar ansluta med hj¨alp av denna typ av l¨osenord eliminerar man risken f¨or att en utomst˚aende dator lyckas kn¨acka l¨osenordet genom gissningar. Vidare kan slarv och andra omst¨andigheter leda till att obeh¨origa kommer ¨over l¨osenord.
Kerberos och nyckelcertifikat ¨ar tv˚a metoder som vi kan anv¨anda f¨or att ytter- ligare ¨oka s¨akerheten och ha kontroll p˚a vilka datorer som ansluter till v˚ar LDAP- server. Vi tror att inte att Kerberos har n˚agon plats i en l¨osning f¨or NSC. Kerberos kr¨aver en server f¨or detta och en hel del konfigurationsarbete. Vidare ger en l¨osning med Kerberos i v˚art fall egentligen inte h¨ogre niv˚a av s¨akerhet ¨an ett r¨att konfigu- rerat system med nyckelcertifikat.
Vi ser nyckelcertifikat som ett komplement till LDAP’s l¨osenord i v˚ar l¨osning. Genom att anv¨anda certifikat f¨or servern kan vi fastst¨alla dennes identitet. Det viktigaste ¨ar att klienten kan lita p˚a att servern verkligen ¨ar vem den utger sig f¨or att vara, s˚a inga l¨osenord skickas ¨over till en falsk server. Detta skulle kunna h¨anda
5
N¨ar n˚agon ansluter till en LDAP-server kallas det att denne binder sig till den. Ett binddn ¨