Terminologia dotycząca zabezpieczeń programu WCF
Niektóre terminologii używane podczas omawiania zabezpieczeń mogą być nieznane. Ten temat zawiera krótkie wyjaśnienia niektórych terminów zabezpieczeń, ale nie ma na celu udostępnienia kompleksowej dokumentacji dla każdego elementu.
Aby uzyskać więcej informacji na temat terminów używanych w dokumentacji programu Windows Communication Foundation (WCF), zobacz Podstawowe pojęcia dotyczące programu Windows Communication Foundation.
lista kontroli dostępu (ACL)
Lista zabezpieczeń, które mają zastosowanie do obiektu. (Obiekt może być plikiem, procesem, zdarzeniem lub innym deskryptorem zabezpieczeń). Wpis w liście ACL jest wpisem kontroli dostępu (ACE). Istnieją dwa typy list ACL: dyskrecjonalne i systemowe.
uwierzytelnianie
Proces sprawdzania, czy użytkownik, komputer, usługa lub proces to kto lub co twierdzi.
autoryzacja
Czynność kontrolowania dostępu i praw do zasobu. Na przykład zezwalanie członkom jednej grupy na odczytywanie pliku, ale zezwalanie tylko członkom innej grupy na zmianę pliku.
certyfikat urzędu certyfikacji (CA)
Identyfikuje urząd certyfikacji, który wystawia certyfikaty uwierzytelniania serwera i klienta na serwerach i klientach żądających tych certyfikatów. Ponieważ zawiera klucz publiczny używany w podpisach cyfrowych, jest również określany jako certyfikat podpisu. Jeśli urząd certyfikacji jest urzędem głównym, certyfikat urzędu certyfikacji może być określany jako certyfikat główny. Czasami nazywane również certyfikatem lokacji.
Hierarchia urzędu certyfikacji
Hierarchia urzędu certyfikacji zawiera wiele urzędów certyfikacji. Jest ona zorganizowana tak, aby każdy urząd certyfikacji był certyfikowany przez inny urząd certyfikacji na wyższym poziomie hierarchii do momentu osiągnięcia górnej części hierarchii, znanej również jako urząd główny.
certyfikat
Podpisana cyfrowo instrukcja zawierająca informacje o jednostce i kluczu publicznym jednostki, wiążąc w ten sposób te dwa fragmenty informacji razem. Certyfikat jest wystawiany przez zaufaną organizację (lub jednostkę), nazywaną urzędem certyfikacji, po sprawdzeniu, czy jednostka jest tym, kim jest.
Certyfikaty mogą zawierać różne typy danych. Na przykład certyfikat X.509 zawiera format certyfikatu, numer seryjny certyfikatu, algorytm użyty do podpisania certyfikatu, nazwę urzędu certyfikacji, nazwę certyfikatu, nazwę i klucz publiczny jednostki żądającej certyfikatu oraz podpis urzędu certyfikacji.
Magazyn certyfikatów
Zazwyczaj magazyn trwały, w którym są przechowywane certyfikaty, listy odwołania certyfikatów (CRL) i listy zaufania certyfikatów (CTLS). Istnieje jednak możliwość utworzenia i otwarcia magazynu certyfikatów wyłącznie w pamięci podczas pracy z certyfikatami, które nie muszą być umieszczane w magazynie trwałym.
oświadczenia
Informacje przekazywane z jednej jednostki do innej użytej do ustanowienia tożsamości nadawcy. Na przykład token nazwy użytkownika i hasła lub certyfikat X.509.
certyfikat klienta
Odwołuje się do certyfikatu używanego do uwierzytelniania klienta, takiego jak uwierzytelnianie przeglądarki sieci Web na serwerze sieci Web. Gdy klient przeglądarki sieci Web próbuje uzyskać dostęp do zabezpieczonego serwera sieci Web, klient wysyła certyfikat do serwera, aby umożliwić mu zweryfikowanie tożsamości klienta.
poświadczenia
Wcześniej uwierzytelnione dane logowania używane przez podmiot zabezpieczeń do ustanawiania własnej tożsamości, takiej jak hasło lub bilet protokołu Kerberos. Poświadczenia służą do kontrolowania dostępu do zasobów.
dane szyfrowane
Typ zawartości danych zdefiniowany przez standard kryptograficzny klucza publicznego (PKCS) #7, który składa się z dowolnego typu danych oraz skrótu komunikatu (skrót) zawartości.
podpis cyfrowy
Dane, które wiążą tożsamość nadawcy z wysyłanymi informacjami. Podpis cyfrowy może być dołączony do dowolnego komunikatu, pliku lub innych informacji zakodowanych cyfrowo lub przesyłanych oddzielnie. Podpisy cyfrowe są używane w środowiskach kluczy publicznych i zapewniają usługi uwierzytelniania i integralności.
encoding
Proces przekształcania danych w strumień bitów. Kodowanie jest częścią procesu serializacji, który konwertuje dane na strumień zer i zer.
pary kluczy wymiany
Para kluczy publicznych/prywatnych używana do szyfrowania kluczy sesji, dzięki czemu można je bezpiecznie przechowywać i wymieniać z innymi użytkownikami.
hash
Wartość liczbowa o stałym rozmiarze uzyskana przez zastosowanie funkcji matematycznej (zobacz algorytm tworzenia wartości skrótu) do dowolnej ilości danych. Dane zwykle zawierają dane losowe, znane jako nonce. Zarówno usługa, jak i klient przyczyniają się do wymiany elementów innych niż, aby zwiększyć złożoność wyniku. Wynik jest również znany jako skrót komunikatu. Wysyłanie wartości skrótu jest bezpieczniejsze niż wysyłanie poufnych danych, takich jak hasło, nawet jeśli hasło jest szyfrowane. Nadawca skrótu i odbiorca muszą uzgodnić algorytm tworzenia wartości skrótu i niezwiązane, aby po odebraniu można zweryfikować skrót.
Algorytm tworzenia skrótów
Algorytm używany do tworzenia wartości skrótu niektórych danych, takich jak komunikat lub klucz sesji. Typowe algorytmy wyznaczania wartości skrótu obejmują MD2, MD4, MD5 i SHA-1.
Protokół Kerberos
Protokół definiujący sposób interakcji klientów z usługą uwierzytelniania sieciowego. Klienci uzyskują bilety z centrum dystrybucji kluczy Protokołu Kerberos (KDC) i przedstawiają te bilety serwerom podczas nawiązywania połączeń. Bilety protokołu Kerberos reprezentują poświadczenia sieciowe klienta.
lokalny urząd zabezpieczeń (LSA)
Podsystem chroniony, który uwierzytelnia i rejestruje użytkowników w systemie lokalnym. LSA przechowuje również informacje o wszystkich aspektach zabezpieczeń lokalnych w systemie, zbiorczo nazywanych lokalnymi zasadami zabezpieczeń systemu.
Negocjacja
Dostawca obsługi zabezpieczeń (SSP), który działa jako warstwa aplikacji między interfejsem dostawcy obsługi zabezpieczeń (SSPI) i innymi dostawcami usług udostępnionych. Gdy aplikacja wywołuje interfejs SSPI w celu zalogowania się do sieci, może określić dostawcę usług udostępnionych do przetworzenia żądania. Jeśli aplikacja określa Negotiate, Negotiate analizuje żądanie i wybiera najlepszy dostawca usług udostępnionych do obsługi żądania na podstawie zasad zabezpieczeń skonfigurowanych przez klienta.
nonce
Losowo wygenerowana wartość używana do pokonania ataków typu "powtórka".
bezdyskrypcja
Możliwość identyfikowania użytkowników, którzy wykonali określone działania, w związku z tym nieodparte na przeciwdziałaniu wszelkim próbom odmowy odpowiedzialności przez użytkownika. Na przykład system może rejestrować identyfikator użytkownika za każdym razem, gdy plik zostanie usunięty.
Standard kryptografii klucza publicznego (PKCS)
Specyfikacje opracowane przez RSA Data Security, Inc. we współpracy z deweloperami bezpiecznych systemów na całym świecie w celu przyspieszenia wdrażania kryptografii klucza publicznego.
PKCS #7
Standard składni komunikatów kryptograficznych. Ogólna składnia danych, do których można zastosować kryptografię, taką jak podpisy cyfrowe i szyfrowanie. Zapewnia również składnię do rozpowszechniania certyfikatów lub list odwołania certyfikatów oraz innych atrybutów komunikatów, takich jak sygnatury czasowe, do komunikatu.
Postaci zwykłego tekstu
Komunikat, który nie jest zaszyfrowany. Komunikaty w postaci zwykłego tekstu są czasami nazywane komunikatami cleartext .
Uprawnień
Prawo użytkownika do wykonywania różnych operacji związanych z systemem, takich jak zamykanie systemu, ładowanie sterowników urządzeń lub zmienianie czasu systemowego. Token dostępu użytkownika zawiera listę uprawnień przechowywanych przez użytkownika lub grupy użytkowników.
klucz prywatny
Tajna połowa pary kluczy używana w algorytmie klucza publicznego. Klucze prywatne są zwykle używane do szyfrowania symetrycznego klucza sesji, cyfrowego podpisywania komunikatu lub odszyfrowywania komunikatu zaszyfrowanego przy użyciu odpowiedniego klucza publicznego. Zobacz też "klucz publiczny".
proces
Kontekst zabezpieczeń, w którym działa aplikacja. Zazwyczaj kontekst zabezpieczeń jest skojarzony z użytkownikiem, więc wszystkie aplikacje działające w ramach danego procesu przyjmują uprawnienia i uprawnienia użytkownika, który jest właścicielem.
para kluczy publicznych/prywatnych
Zestaw kluczy kryptograficznych używanych do kryptografii klucza publicznego. Dla każdego użytkownika dostawca usług kryptograficznych (CSP) zwykle utrzymuje dwie pary kluczy publicznych/prywatnych: parę kluczy wymiany i parę kluczy podpisu cyfrowego. Obie pary kluczy są utrzymywane z sesji do sesji.
klucz publiczny
Klucz kryptograficzny zwykle używany podczas odszyfrowywania klucza sesji lub podpisu cyfrowego. Klucz publiczny może również służyć do szyfrowania komunikatu, co gwarantuje, że tylko osoba z odpowiednim kluczem prywatnym może odszyfrować komunikat.
szyfrowanie klucza publicznego
Szyfrowanie, które używa pary kluczy, jednego klucza do szyfrowania danych i drugiego klucza do odszyfrowywania danych. Natomiast algorytmy szyfrowania symetrycznego, które używają tego samego klucza do szyfrowania i odszyfrowywania. W praktyce kryptografia klucza publicznego jest zwykle używana do ochrony klucza sesji używanego przez algorytm szyfrowania symetrycznego. W takim przypadku klucz publiczny jest używany do szyfrowania klucza sesji, który z kolei został użyty do szyfrowania niektórych danych, a klucz prywatny jest używany do odszyfrowywania. Oprócz ochrony kluczy sesji kryptografia klucza publicznego może być również używana do cyfrowego podpisywania komunikatu (przy użyciu klucza prywatnego) i weryfikowania podpisu (przy użyciu klucza publicznego).
infrastruktura kluczy publicznych (PKI)
Infrastruktura zapewniająca zintegrowany zestaw usług i narzędzi administracyjnych do tworzenia, wdrażania i zarządzania aplikacjami kluczy publicznych.
Odrzucenie
Zdolność użytkownika do fałszywego odmowy wykonania akcji, podczas gdy inne strony nie mogą udowodnić inaczej. Na przykład użytkownik, który usuwa plik i kto może pomyślnie temu zaprzeczyć.
urząd główny
Urząd certyfikacji w górnej części hierarchii urzędu certyfikacji. Urząd główny potwierdza urzędy certyfikacji na następnym poziomie hierarchii.
Bezpieczny algorytm wyznaczania skrótu (SHA)
Algorytm tworzenia skrótów, który generuje skrót komunikatu. Algorytm SHA jest używany z algorytmem podpisu cyfrowego (DSA) w standardzie podpisu cyfrowego (DSS) między innymi. Istnieją cztery odmiany SHA: SHA-1, SHA-256, SHA-384 i SHA-512. Algorytm SHA-1 generuje 160-bitowy skrót komunikatu. Sha-256, SHA-384 i SHA-512 generują odpowiednio 256-bitowe, 384-bitowe i 512-bitowe skróty komunikatów. SHA został opracowany przez Narodowy Instytut Standardów i Technologii (NIST) i przez Agencję Bezpieczeństwa Narodowego (NSA).
Secure Sockets Layer (SSL)
Protokół umożliwiający bezpieczną komunikację sieciową przy użyciu kombinacji technologii kluczy publicznych i tajnych.
kontekst zabezpieczeń
Aktualnie obowiązujące atrybuty lub reguły zabezpieczeń. Na przykład bieżący użytkownik zalogowany na komputerze lub osobisty numer identyfikacyjny wprowadzony przez użytkownika karty inteligentnej. W przypadku interfejsu SSPI kontekst zabezpieczeń to nieprzezroczysta struktura danych zawierająca dane zabezpieczeń związane z połączeniem, taka jak klucz sesji lub wskazanie czasu trwania sesji.
podmiot zabezpieczeń
Jednostka rozpoznawana przez system zabezpieczeń. Podmioty zabezpieczeń mogą obejmować użytkowników ludzkich, a także procesy autonomiczne.
dostawca obsługi zabezpieczeń (SSP)
Biblioteka dll (dynamic-link library), która implementuje interfejs SSPI, udostępniając co najmniej jeden pakiet zabezpieczeń aplikacjom. Każdy pakiet zabezpieczeń udostępnia mapowania między wywołaniami funkcji SSPI aplikacji a rzeczywistymi funkcjami modelu zabezpieczeń. Pakiety zabezpieczeń obsługują protokoły zabezpieczeń, takie jak uwierzytelnianie Kerberos i program Microsoft LAN Manager (LanMan).
Interfejs dostawcy obsługi zabezpieczeń (SSPI)
Wspólny interfejs między aplikacjami na poziomie transportu, takimi jak zdalne wywołanie procedury firmy Microsoft (RPC) i dostawcy zabezpieczeń, tacy jak zabezpieczenia rozproszone systemu Windows. Interfejs SSPI umożliwia aplikacji transportowej wywołanie jednego z kilku dostawców zabezpieczeń w celu uzyskania uwierzytelnionego połączenia. Te wywołania nie wymagają obszernej wiedzy na temat szczegółów protokołu zabezpieczeń.
usługa tokenu zabezpieczającego
Usługi przeznaczone do wystawiania niestandardowych tokenów zabezpieczających (wystawionych tokenów) i zarządzania nimi w scenariuszu z wieloma usługami. Tokeny niestandardowe są zwykle tokenami języka SAML (Security Assertions Markup Language), które zawierają poświadczenia niestandardowe.
certyfikat serwera
Odwołuje się do certyfikatu używanego do uwierzytelniania serwera, takiego jak uwierzytelnianie serwera sieci Web w przeglądarce sieci Web. Gdy klient przeglądarki sieci Web próbuje uzyskać dostęp do zabezpieczonego serwera sieci Web, serwer wysyła certyfikat do przeglądarki, aby umożliwić mu zweryfikowanie tożsamości serwera.
session
Wymiana komunikatów pod ochroną pojedynczego fragmentu materiału kluczy. Na przykład sesje SSL używają jednego klucza do wysyłania wielu komunikatów w tym kluczu.
klucz sesji
Losowo wygenerowany klucz, który jest używany raz, a następnie odrzucony. Klucze sesji są symetryczne (używane do szyfrowania i odszyfrowywania). Są one wysyłane z wiadomością chronioną przez szyfrowanie przy użyciu klucza publicznego od zamierzonego adresata. Klucz sesji składa się z losowej liczby około 40 do 2000 bitów.
poświadczenia uzupełniające
Poświadczenia do użycia podczas uwierzytelniania podmiotu zabezpieczeń w zagranicznych domenach zabezpieczeń.
szyfrowanie symetryczne
Szyfrowanie, które używa pojedynczego klucza do szyfrowania i odszyfrowywania. Szyfrowanie symetryczne jest preferowane podczas szyfrowania dużych ilości danych. Niektóre z najpopularniejszych algorytmów szyfrowania symetrycznego to RC2, RC4 i Data Encryption Standard (DES).
Zobacz również "szyfrowanie klucza publicznego".
klucz symetryczny
Pojedynczy klucz używany do szyfrowania i odszyfrowywania. Klucze sesji są zwykle symetryczne.
token (token dostępu)
Token dostępu zawiera informacje o zabezpieczeniach sesji logowania. System tworzy token dostępu, gdy użytkownik loguje się, a każdy proces wykonywany w imieniu użytkownika ma kopię tokenu. Token identyfikuje użytkownika, grupy użytkownika i uprawnienia użytkownika. System używa tokenu do kontrolowania dostępu do zabezpieczanych obiektów i kontrolowania możliwości użytkownika do wykonywania różnych operacji związanych z systemem na komputerze lokalnym. Istnieją dwa rodzaje tokenów dostępu: podstawowy i personifikacja.
warstwa transportu
Warstwa sieci, która jest odpowiedzialna zarówno za jakość usług, jak i dokładne dostarczanie informacji. Wśród zadań wykonywanych w tej warstwie są wykrywanie błędów i poprawianie.
lista zaufania (lista zaufania certyfikatów lub lista CTL)
Wstępnie zdefiniowana lista elementów podpisanych przez zaufaną jednostkę. Lista CTL może być niczym, takim jak lista skrótów certyfikatów lub lista nazw plików. Wszystkie elementy na liście są uwierzytelniane (zatwierdzone) przez jednostkę podpisywania.
dostawca zaufania
Oprogramowanie, które decyduje, czy dany plik jest zaufany. Ta decyzja jest oparta na certyfikacie skojarzonym z plikiem.
główna nazwa użytkownika (UPN)
Nazwa konta użytkownika (czasami nazywana nazwą logowania użytkownika) i nazwa domeny identyfikującej domenę, w której znajduje się konto użytkownika. Jest to standardowe użycie logowania do domeny systemu Windows. Format to: someone@example.com (tak jak w przypadku adresu e-mail).
Uwaga
Oprócz standardowego formularza nazwy UPN program WCF akceptuje nazwy UPN w formularzu na poziomie podrzędnym, na przykład cohowinery.com\someone.
X.509
Uznany na arenie międzynarodowej standard dla certyfikatów, który definiuje ich wymagane części.