Säkerhetsterminologi för WCF
En del av den terminologi som används när du diskuterar säkerhet kanske inte är bekant. Det här avsnittet innehåller korta förklaringar av vissa säkerhetsvillkor, men är inte avsett att tillhandahålla omfattande dokumentation för varje objekt.
Mer information om termer som används i WCF-dokumentationen (Windows Communication Foundation) finns i Grundläggande Begrepp för Windows Communication Foundation.
åtkomstkontrollista (ACL)
En lista över säkerhetsskydd som gäller för ett objekt. (Ett objekt kan vara en fil, en process, en händelse eller något annat som har en säkerhetsbeskrivning.) En post i en ACL är en åtkomstkontrollpost (ACE). Det finns två typer av ACL:er: diskretionärt och system.
autentisering
Processen för att verifiera att en användare, dator, tjänst eller process är vem eller vad den påstår sig vara.
auktorisering
Kontroll av åtkomst och rättigheter till en resurs. Till exempel att tillåta medlemmar i en grupp att läsa en fil, men endast tillåta medlemmar i en annan grupp att ändra filen.
certifikatutfärdare (CA)
Identifierar certifikatutfärdare som utfärdar server- och klientautentiseringscertifikat till de servrar och klienter som begär dessa certifikat. Eftersom den innehåller en offentlig nyckel som används i digitala signaturer kallas den även för ett signaturcertifikat. Om certifikatutfärdare är en rotutfärdare kan CA-certifikatet kallas för ett rotcertifikat. Kallas även ibland för ett platscertifikat.
CA-hierarki
En CA-hierarki innehåller flera certifikatutfärdare. Den är ordnad så att varje certifikatutfärdare certifieras av en annan certifikatutfärdare på en högre nivå i hierarkin tills toppen av hierarkin, även kallad rotutfärdare, har nåtts.
certifikat
En digitalt signerad instruktion som innehåller information om en entitet och entitetens offentliga nyckel, vilket binder samman dessa två informationsdelar. Ett certifikat utfärdas av en betrodd organisation (eller en entitet), som kallas certifikatutfärdare, efter att utfärdaren har verifierat att entiteten är den som den säger att den är.
Certifikat kan innehålla olika typer av data. Ett X.509-certifikat innehåller till exempel certifikatets format, certifikatets serienummer, algoritmen som används för att signera certifikatet, namnet på certifikatutfärdare som utfärdade certifikatet, namnet och den offentliga nyckeln för den entitet som begär certifikatet och certifikatutfärdarsignaturen.
Certifikatarkiv
Vanligtvis lagras en permanent lagring där certifikat, listor över återkallade certifikat (CRL) och listor över betrodda certifikat (CTL) lagras. Det är dock möjligt att skapa och öppna ett certifikatarkiv enbart i minnet när du arbetar med certifikat som inte behöver placeras i permanent lagring.
anspråk
Information som skickas från en entitet till en annan som används för att upprätta avsändarens identitet. Till exempel ett användarnamn och en lösenordstoken eller ett X.509-certifikat.
klientcertifikat
Refererar till ett certifikat som används för klientautentisering, till exempel autentisering av en webbläsare på en webbserver. När en webbläsarklient försöker komma åt en säker webbserver skickar klienten sitt certifikat till servern så att den kan verifiera klientens identitet.
autentiseringsuppgifter
Tidigare autentiserade inloggningsdata som ett säkerhetsobjekt använder för att upprätta en egen identitet, till exempel ett lösenord eller en Kerberos-protokollbiljett. Autentiseringsuppgifter används för att styra åtkomsten till resurser.
sammanfattade data
En datainnehållstyp som definieras av PKCS (Public Key Cryptographic Standard) nr 7 som består av alla typer av data plus en meddelandehash (sammandrag) av innehållet.
digital signatur
Data som binder en avsändares identitet till den information som skickas. En digital signatur kan paketeras med alla meddelanden, filer eller annan digitalt kodad information eller överföras separat. Digitala signaturer används i offentliga nyckelmiljöer och tillhandahåller autentiserings- och integritetstjänster.
Kodning
Processen att omvandla data till en dataström med bitar. Kodning är en del av serialiseringsprocessen som konverterar data till en ström med ettor och nollor.
exchange-nyckelpar
Ett offentligt/privat nyckelpar som används för att kryptera sessionsnycklar så att de på ett säkert sätt kan lagras och utbytas med andra användare.
Hash
Ett numeriskt värde med fast storlek som erhålls genom att tillämpa en matematisk funktion (se hashalgoritm) på en godtycklig mängd data. Data innehåller vanligtvis slumpmässiga data, så kallade nonce. Både tjänsten och klienten bidrar med exchange-nonces för att öka resultatets komplexitet. Resultatet kallas även för en sammanfattad meddelandesammandrag. Att skicka ett hash-värde är säkrare än att skicka känsliga data, till exempel ett lösenord, även om lösenordet är krypterat. Hash-avsändaren och mottagaren måste komma överens om hash-algoritmen och nonces så att en hash kan verifieras när den har tagits emot.
hash-algoritm
En algoritm som används för att skapa ett hash-värde för vissa data, till exempel ett meddelande eller en sessionsnyckel. Vanliga hashalgoritmer är MD2, MD4, MD5 och SHA-1.
Kerberos-protokoll
Ett protokoll som definierar hur klienter interagerar med en nätverksautentiseringstjänst. Klienter får biljetter från Kerberos Key Distribution Center (KDC) och de presenterar dessa biljetter för servrar när anslutningar upprättas. Kerberos-biljetter representerar klientens autentiseringsuppgifter för nätverket.
lokal säkerhetsmyndighet (LSA)
Ett skyddat undersystem som autentiserar och loggar in användare på det lokala systemet. LSA upprätthåller också information om alla aspekter av lokal säkerhet i ett system, som tillsammans kallas systemets lokala säkerhetsprincip.
Förhandla
En SSP (Security Support Provider) som fungerar som ett programlager mellan SSPI (Security Support Provider Interface) och de andra SSP:erna. När ett program anropar SSPI för att logga in på ett nätverk kan det ange en SSP för att bearbeta begäran. Om programmet anger analyserar NegotiateNegotiate du begäran och väljer den bästa SSP:en för att hantera begäran baserat på den kundkonfigurerade säkerhetsprincipen.
nonce
Ett slumpmässigt genererat värde som används för att besegra "replay"-attacker.
Oavvislighet
Möjligheten att identifiera användare som utförde vissa åtgärder, vilket oåterkalleligen motverkar eventuella försök från en användare att neka ansvar. Ett system kan till exempel logga ID:t för en användare när en fil tas bort.
Public Key Cryptography Standard (PKCS)
Specifikationer som tagits fram av RSA Data Security, Inc. i samarbete med utvecklare av säkra system över hela världen för att påskynda distributionen av kryptering med offentliga nycklar.
PKCS #7
Standard för kryptografisk meddelandesyntax. En allmän syntax för data som kryptografi kan tillämpas på, till exempel digitala signaturer och kryptering. Den innehåller också syntax för att sprida certifikat eller listor över återkallade certifikat och andra meddelandeattribut, till exempel tidsstämplar, till meddelandet.
Klartext
Ett meddelande som inte är krypterat. Oformaterade meddelanden kallas ibland cleartext-meddelanden.
Privilegium
En användares rätt att utföra olika systemrelaterade åtgärder, till exempel att stänga av systemet, läsa in enhetsdrivrutiner eller ändra systemtiden. En användares åtkomsttoken innehåller en lista över de behörigheter som användaren eller användarens grupper har.
privat nyckel
Den hemliga hälften av ett nyckelpar som används i en algoritm för offentlig nyckel. Privata nycklar används vanligtvis för att kryptera en symmetrisk sessionsnyckel, signera ett meddelande digitalt eller dekryptera ett meddelande som har krypterats med motsvarande offentliga nyckel. Se även "offentlig nyckel".
process
Säkerhetskontexten där ett program körs. Säkerhetskontexten är vanligtvis associerad med en användare, så alla program som körs under en viss process tar på sig den ägande användarens behörigheter och behörigheter.
offentligt/privat nyckelpar
En uppsättning kryptografiska nycklar som används för kryptering med offentliga nycklar. För varje användare har en kryptografisk tjänstleverantör (CSP) vanligtvis två offentliga/privata nyckelpar: ett exchange-nyckelpar och ett nyckelpar för digital signatur. Båda nyckelparen underhålls från session till session.
offentlig nyckel
En kryptografisk nyckel används vanligtvis vid dekryptering av en sessionsnyckel eller en digital signatur. Den offentliga nyckeln kan också användas för att kryptera ett meddelande, vilket garanterar att endast den person som har motsvarande privata nyckel kan dekryptera meddelandet.
kryptering med offentlig nyckel
Kryptering som använder ett par nycklar, en nyckel för att kryptera data och den andra nyckeln för att dekryptera data. Symmetriska krypteringsalgoritmer som använder samma nyckel för både kryptering och dekryptering. I praktiken används kryptering med offentliga nycklar vanligtvis för att skydda sessionsnyckeln som en symmetrisk krypteringsalgoritm använder. I det här fallet används den offentliga nyckeln för att kryptera sessionsnyckeln, som i sin tur användes för att kryptera vissa data, och den privata nyckeln används för dekryptering. Förutom att skydda sessionsnycklar kan kryptografi med offentliga nycklar också användas för att signera ett meddelande digitalt (med hjälp av den privata nyckeln) och verifiera signaturen (med hjälp av den offentliga nyckeln).
public key infrastructure (PKI)
En infrastruktur som tillhandahåller en integrerad uppsättning tjänster och administrativa verktyg för att skapa, distribuera och hantera offentliga nyckelprogram.
Avståndstagande
Möjligheten för en användare att felaktigt neka att ha utfört en åtgärd medan andra parter inte kan bevisa något annat. Till exempel en användare som tar bort en fil och som kan neka att ha gjort det.
rotutfärdarutfärdar
Ca:en högst upp i en CA-hierarki. Rotutfärdare certifierar certifikatutfärdare på nästa nivå i hierarkin.
Säker hashalgoritm (SHA)
En hash-algoritm som genererar en sammanfattning av meddelandet. SHA används bland annat med DSA (Digital Signature Algorithm) i DSS (Digital Signature Standard). Det finns fyra sorter av SHA: SHA-1, SHA-256, SHA-384 och SHA-512. SHA-1 genererar en 160-bitars meddelandesammandrag. SHA-256, SHA-384 och SHA-512 genererar 256-bitars, 384-bitars respektive 512-bitars meddelandesammandrag. SHA utvecklades av National Institute of Standards and Technology (NIST) och av National Security Agency (NSA).
SSL (Secure Sockets Layer)
Ett protokoll för säker nätverkskommunikation med hjälp av en kombination av offentlig och hemlig nyckelteknik.
säkerhetskontext
De säkerhetsattribut eller regler som för närvarande gäller. Den aktuella användaren loggade till exempel in på datorn eller det personliga ID-nummer som angetts av smartkortsanvändaren. För SSPI är en säkerhetskontext en ogenomskinlig datastruktur som innehåller säkerhetsdata som är relevanta för en anslutning, till exempel en sessionsnyckel eller en indikation på sessionens varaktighet.
säkerhetsobjekt
En entitet som identifieras av säkerhetssystemet. Huvudnamn kan omfatta både mänskliga användare och autonoma processer.
SSP (Security Support Provider)
Ett DLL-bibliotek (Dynamic Link Library) som implementerar SSPI genom att göra ett eller flera säkerhetspaket tillgängliga för program. Varje säkerhetspaket innehåller mappningar mellan ett programs SSPI-funktionsanrop och en faktisk säkerhetsmodells funktioner. Säkerhetspaket stöder säkerhetsprotokoll som Kerberos-autentisering och Microsoft LAN Manager (LanMan).
SSPI (Security Support Provider Interface)
Ett gemensamt gränssnitt mellan program på transportnivå, till exempel Microsoft Remote Procedure Call (RPC) och säkerhetsleverantörer, till exempel distribuerad Windows-säkerhet. Med SSPI kan ett transportprogram anropa en av flera säkerhetsprovidrar för att hämta en autentiserad anslutning. Dessa anrop kräver inte omfattande kunskap om säkerhetsprotokollets information.
tjänst för säkerhetstoken
Tjänster som är utformade för att utfärda och hantera anpassade säkerhetstoken (utfärdade token) i ett scenario med flera tjänster. De anpassade token är vanligtvis SAML-token (Security Assertions Markup Language) som innehåller en anpassad autentiseringsuppgift.
servercertifikat
Refererar till ett certifikat som används för serverautentisering, till exempel att autentisera en webbserver till en webbläsare. När en webbläsarklient försöker komma åt en säker webbserver skickar servern sitt certifikat till webbläsaren så att den kan verifiera serverns identitet.
Session
Ett utbyte av meddelanden under skydd av ett enda nyckelmaterial. Till exempel använder SSL-sessioner en enda nyckel för att skicka flera meddelanden fram och tillbaka under den nyckeln.
sessionsnyckel
En slumpmässigt genererad nyckel som används en gång och sedan ignoreras. Sessionsnycklar är symmetriska (används för både kryptering och dekryptering). De skickas med meddelandet, som skyddas av kryptering med en offentlig nyckel från den avsedda mottagaren. En sessionsnyckel består av ett slumpmässigt antal på cirka 40 till 2 000 bitar.
kompletterande autentiseringsuppgifter
Autentiseringsuppgifter för att autentisera ett säkerhetsobjekt till externa säkerhetsdomäner.
symmetrisk kryptering
Kryptering som använder en enda nyckel för både kryptering och dekryptering. Symmetrisk kryptering rekommenderas vid kryptering av stora mängder data. Några av de vanligaste symmetriska krypteringsalgoritmerna är RC2, RC4 och Data Encryption Standard (DES).
Se även "kryptering av offentlig nyckel".
symmetrisk nyckel
En enda nyckel som används för både kryptering och dekryptering. Sessionsnycklar är vanligtvis symmetriska.
token (åtkomsttoken)
En åtkomsttoken innehåller säkerhetsinformationen för en inloggningssession. Systemet skapar en åtkomsttoken när en användare loggar in, och varje process som körs för användarens räkning har en kopia av token. Token identifierar användaren, användarens grupper och användarens behörigheter. Systemet använder token för att styra åtkomsten till skyddsbara objekt och för att styra användarens möjlighet att utföra olika systemrelaterade åtgärder på den lokala datorn. Det finns två typer av åtkomsttoken, primär och personifiering.
transportlager
Det nätverksnivå som ansvarar för både tjänstkvalitet och korrekt leverans av information. Bland de uppgifter som utförs i det här lagret finns felidentifiering och korrigering.
förtroendelista (listan över betrodda certifikat eller CTL)
En fördefinierad lista över objekt som har signerats av en betrodd entitet. En ctl kan vara vad som helst, till exempel en lista över hashvärden för certifikat eller en lista med filnamn. Alla objekt i listan autentiseras (godkänns) av signeringsentiteten.
förtroendeprovider
Programvaran som avgör om en viss fil är betrodd. Det här beslutet baseras på certifikatet som är associerat med filen.
användarens huvudnamn (UPN)
Ett användarnamn (kallas ibland för användarens inloggningsnamn) och ett domännamn som identifierar domänen där användarkontot finns. Det här är standardanvändningen för att logga in på en Windows-domän. Formatet är: someone@example.com (som för en e-postadress).
Kommentar
Utöver standardformuläret för UPN accepterar WCF UPN i nednivå, till exempel cohowinery.com\someone.
X.509
En internationellt erkänd standard för certifikat som definierar deras nödvändiga delar.