TH89493A - การใช้นโยบายเป็นแรงขับในการมอบหมายหลักฐานรับรองสำหรับการพิสูจน์ตัวตนเพียงครั้งเดียวและการเข้าถึงทรัพยากรทางเครือข่ายอย่างปลอดภัย - Google Patents

Abstract

DC60 หัวข้อการประดิษฐ์จัดเตรียมผู้ให้บริการที่สนับสนุนความปลอดภัยของหลักฐานรับรองบน เครือข่าย (เอสเอสพีของหลักฐาน - credential security support provider, Cred SSP) ซึ่งจะให้สิทธิ์โปรแกรม ประยุกต์ใดๆ ได้มอบหมายหลักฐานรับรองของผู้ใช้จากลูกข่าย (ผ่านทางซอฟต์แวร์ของผู้ให้บริการที่ สนับสนุนความปลอดภัยบนเครือข่าย (เอสเอสพี - Sccurity Support Provider, SSP) ที่ฝั่งลูกข่าย) ส่งไปยัง แม่ข่ายเป้าหมาย (ผ่านทางซอฟต์แวร์เอสเอสพีที่ฝั่งแม่ข่าย) ภายในสภาพแวดล้อมทางคอมพิวเตอร์แบบ เครือข่ายได้อย่างปลอดภัย โดยเอสเอสพีของหลักฐานของสิ่งประดิษฐ์นี้จะจัดหาวิธีการที่ปลอดภัยซึ่ง บางส่วนจะยึดชุดนโยบายต่างๆ เป็นหลัก (รวมถึงนโยบายที่เป็นค่าโดยปริยายที่จะปลอดภัยจากการโจมตีใน วงกว้างด้วย) ซึ่งชุดนโยบายนี้จะถูกใช้เพื่อควบคุมและจำกัดการมอบหมายหลักฐานรับรองผู้ใช้จากลูกข่าย ส่งให้กับแม่ข่าย โดยนโยบายเหล่านี้สามารถใช้ได้กับหลักฐานรับรองผู้ใช้ประเภทใดก็ได้และนโยบายที่ ต่างกันก็ได้รับการออกแบบมาเพื่อบรรเทาการโจมตีในวงกว้างซึ่งทำให้การมอบหมายที่เหมาะสมสามารถ เกิดขึ้นได้บนสภาวะแวดล้อมของการมอบหมาย, ปัจจัยแวดล้อมทางเครือข่าย, ระดับความน่าเชื่อถือ และ อื่นๆ ที่เป็นอยู่ขณะนั้น นอกจากนี้ มีเพียงแค่ระบบย่อยที่เชื่อถือได้ เช่น ระบบย่อยที่เชื่อถือได้ของผู้กำหนด สิทธิ์ความปลอดภัยเฉพาะแห่ง (แอลเอสเอ - Local Security Authority, LSA) เท่านั้นที่จะมีการเข้าถึง หลักฐานรับรองที่เป็นข้อความล้วน ดังนั้นทั้งโปรแกรมประยุกต์ที่ใช้เพื่อเรียกของเอพีไอ (API) ที่เป็นเอส เอสพีของหลักฐานบนฝั่งแม่ขาย และโปรแกรมประยุกต์ที่ใช้เพื่อเรียกของเอพีไอที่เป็นเอสเอสพีของ หลักฐานบนฝั่งลูกข่ายต่างก็ไม่มีการเข้าถึงหลักฐานรับรองที่เป็นข้อความล้วนเลย หัวข้อการประดิษฐ์จัดเตรียมผู้ให้บริการที่สนับสนุนความปลอดภัยของหลักฐานรับรองบน เครือข่าย (เอสเอสพีของหลักฐาน - credcitial security support provider, Cred SSP) ซึ่งจัดให้สิทธิ์โปรแกรม ประยุกต์ใดๆ ได้มอบหมายหลักฐานรับรองของผู้ใช้จากลูกข่าย (ผ่านทางซอฟต์แวร์ของผู้ให้บริการที่ สนับสนุนความปลอดภัยบนเครือข่าย (เอสเอสพี - Sccurity Support Provider, SSP) ที่ฝั่งลูกข่าย) ส่งไปยัง แม่ข่ายเป้าหมาย (ผ่านทางซอฟต์แวร์เอสเอสพีที่ฝั่งแม่ข่าย) ภายในสภาพแวดล้อมทางคอมพิวเตอร์แบบ เครือข่ายได้อย่างปลอดภัย โดยเอสเอสพีของหลักฐานของสิ่งประดิษฐ์นี้จะจัดหาวิธีการที่ปลอดภัยซึ่ง บางส่วนจะยึดชุดนโยบายต่างๆ เป็นหลัก (รวมถึงนโยบายที่เป็นค่าโดยปริยายที่จะปลอดภัยจากการโจมตีใน วงกว้างด้วย) ซึ่งชุดนโยบายนี้จะถูกใช้เพื่อควบคุมและจำกัดการมอบหมายหลักฐานรับรองผู้ใช้จากลูกข่าย ส่งให้กับแม่ข่าย โดยนโยบายเหล่านี้สามารถใช้ได้กับหลักฐานรับรองผู้ใช้ประเภทใดก็ได้และนโยบายที่ ต่างกันก็ได้รับการออกแบบมาเพื่อบรรเทาการ โจมตีในวงกว้างซึ่งทำให้การมอบหมายที่เหมาะสมสามารถ เกิดขึ้นได้บนสภาวะแวดล้อมของการมอบหมาย, ปัจจัยแวดล้อมทางเครือข่าย, ระดับความน่าเชื่อถือ และ อื่นๆ ที่เป็นอยู่ขณะนั้น นอกจากนี้ มีเพียงแค่ระบบย่อยที่เชื่อถือได้ เช่น ระบบย่อยที่เชื่อถือได้ของผู้กำหนด สิทธิ์ความปลอดภัยเฉพาะแห่ง (แอลเอสเอ - Local Security Authority, LSA) เท่านั้นที่จะมีการเข้าถึง หลักฐานรับรองที่เป็นข้อความล้วน ดังนั้นทั้งโปรแกรมประยุกต์ที่ใช้เพื่อเรียกของเอพีไอ (API) ที่เป็นเอส เอสพีของหลักฐานบนฝั่งแม่ขาย และโปรแกรมประยุกต์ที่ใช้เพื่อรักของเอพีไอที่เป็นเอสเอสพีของ หลักฐานบนฝั่งลูกข่ายต่างก็ไม่มีการเข้าถึงหลักฐานรับรองที่เป็นข้อความล้วนเลย

Claims (2)

ข้อถือสิทธฺ์ (ทั้งหมด) ซึ่งจะไม่ปรากฏบนหน้าประกาศโฆษณา :แก้ไข 27/03/2560 1. วิธีการในการมอบหมายหลักฐานรับรองจากลูกข่ายให้กับแม่ข่ายในสภาพแวดล้อมทาง คอมพิวเตอร์แบบเครือข่าย ประกอบด้วย: การส่งคำร้องขอจากลูกข่ายสำหรับโปรแกรมประยุกต์, บริการ และทรัพยากรอย่างน้อย ที่สุดหนึ่งอย่างของแม่ข่ายในสภาพแวดล้อมทางคอมพิวเตอร์แบบเครือข่ายซึ่งเกี่ยวข้องกับการมอบหมาย หลักฐานรับรองผู้.ช้จากลูกข่ายให้กับแม่ข่าย การเริ่มต้นส่งสัญญาณถามสถานะการติดต่อระหว่างลูกข่ายและแม่ข่ายรวมทั้งการได้รับ กุญแจสาธารณะ [เคพับ(Kpub)] ของแม่ข่ายโดยลูกข่ายดังกล่าว การต่อรองด้วยแม่ข่ายเพื่อเลือกแพ็คเกจ (package) ที่ใช้ในการพิสูจน์ตัวตนซึ่งถูกใช้ ร่วมกันระหว่างลูกข่ายและแม่ข่ายเพื่อใช้เป็นกลไกพิสูจน์ตัวตนสำหรับการพิสูจน์ตัวตนของการสื่อสาร ระหว่างลูกข่ายและแม่ข่าย การพิสูจน์ตัวตนของแม่ข่ายด้วยการใช้แพ็คเกจที่ใช้ในการพิสูจน์ตัวตนที่ได้เลือกไว้เป็น กลไกพิสูจน์ตัวตน การตัดสินใจว่าการพิสูจน์ตัวตนได้เกิดขึ้นตามขั้นตอนการพิสูจน์ตัวตนดังกล่าวแล้วหรือยัง และเฉพาะเมื่อเกิดการพิสูจน์ตัวตนแล้ว จะมีการสถาปนาเซสชั่น (session) ระหว่างลูกข่ายและแม่ข่ายซึ่ง ครอบคลุมถึงการสร้างความลับที่ใช้ร่วมกันเพื่อการเข้ารหัสลับกับข้อความที่สื่อสารอยู่ระหว่างลูกข่ายและ แม่ข่าย การได้รับบนลูกข่าย การบ่งชี้การจัดกลุ่มสำหรับแม่ข่ายดังกล่าว ก่อนหน้าที่จะมีการส่งต่อหลักฐานรับรองผู้ใช้สำหรับการร้องขอ ยังมีการดำเนินการ ตรวจสอบนโยบายตามข้อกำหนดของอย่างน้อยหนึ่งนโยบายที่กำหนดไว้ก่อนซึ่งได้กำหนดให้เป็นหลักฐาน รับรองผู้ใช้เพื่อใช้ตัดสินใจว่าแม่ข่ายจะได้รับความเชื่อถือในเรื่องหลักฐานรับรองผู้ใช้หรือไม่ ซึ่งนโยบาย กำหนดไว้ล่วงหน้านั้นอยู่บนพื้นฐานของการจัดกลุ่มแม่ข่ายที่ได้รับนั้น การพิสูจน์ตัวตนเคพับ (Kpub) ของแม่ข่ายโดย: การเข้ารหัส เคพับ (Kpub) กับความลับร่วมนั้น การส่ง เคพับ (Kpub) ที่เข้ารหัสให้กับแม่ข่ายดังกล่าว การได้รับการตอบสนองจากแม่ข่ายนั้น และ การทวนสอบว่าการตอบสนองรวมทั้ง [เคพับ (Kpub)+1] เข้ารหัสกับความลับร่วม นั้น และ ถ้าแม่ข่ายได้รับความเชื่อถือโดยสอดคล้องกับนโยบายที่กำหนดไว้ล่วงหน้าและการ ตอบสนองนั้นถูกทวนสอบแล้ว จะมีการส่งต่อหลักฐานรับรองของผู้ใช้ให้กับแม่ข่ายเพื่อได้รับสิทธิในการ เข้าถึงโปรแกรมประยุกต์, บริการ และทรัพยากรอย่างน้อยที่สุดหนึ่งอย่างที่ร้องขอของแม่ข่ายจากลูกข่าย ดังกล่าว 2. วิธีการตามข้อถือสิทธิที่ 1 ในที่ซึ่งอย่างน้อยหนึ่งนโยบายที่ประกาศไว้ก่อน คือ นโยบาย มากมายที่ถูกใช้เพื่อควบคุมและจำกัดการมอบหมายหลักฐานรับรองผู้ใช้จากลูกข่ายให้กับแม่ข่ายจากลูกข่าย ดังกล่าว 3. วิธีการตามข้อถือสิทธิที่ 2 ในที่ซึ่งนโยบายมากมายจะจัดการบรรเทาการโจมตีในวงกว้างซึ่ง ครอบคลุมถึงอย่างน้อยหนึ่งในจำพวกโทรจัน (Trojan) หรือโปรแกรมประสงค์ร้ายที่ทำงานอยู่บนเครื่องลูก ข่าย, การตั้งค่านโยบายแบบกลุ่มโดยปริยายและค่านโยบายแบบกลุ่มที่ผู้ดูแลระบบของเครื่องลูกข่ายสามารถ กำหนดค่าได้,บริการชื่อโดเมน(ดีเอ็นเอส- domain name service, DNS) ที่เป็นอันตราย เพื่อหลีกเลี่ยง ปัญหาแม่ข่ายประสงค์ร้ายและการโจมตีโดยปฏิเสธการให้บริการ 4. วิธีการตามข้อถือสิทธิที่ 2 ในที่ซึ่งนโยบายมากมายประกอบด้วยนโยบายต่างๆ ซึ่งเป็นอย่าง น้อยในการมอบหมายที่ได้รับการยอมรับหรือปฏิเสธโดยยึดหลักตามรายการของชื่อบริการหลัก (เอสพีเอ็น - service principle names, SPN) ของแม่ข่าย 5. วิธีการตามข้อถือสิทธิที่ 1 ในที่ซึ่งการดำเนินการประกอบด้วยการดำเนินการตรวจสอบ นโยบายตามข้อกำหนดของอย่างน้อยหนึ่งนโยบายที่ประกาศไว้ก่อนซึ่งได้ประกาศโดยมีรากฐานจาก ประเภทของหลักฐานรับรองผู้ใช้ 6. วิธีการตามข้อถือสิทธิที่ 5 ในที่ซึ่งการดำเนินการประกอบด้วยการดำเนินการตรวจสอบ นโยบายตามข้อกำหนดของอย่างน้อยหนึ่งนโยบายที่ประกาศไว้ก่อนซึ่งได้ประกาศโดยมีรากฐานจาก หลักฐานรับรองประเภทใดก็ตามจากหลักฐานรับรองใหม่, หลักฐานรับรองที่บันทึกไว้ หรือหลักฐานรับรอง โดยปริยาย 7. วิธีการตามข้อถือสิทธิที่ 1 ในที่ซึ่งการส่งต่อหลักฐานรับรองของผู้ใช้ดังกล่าวประกอบด้วยการ ส่งต่อหลักฐานรับรองของผู้ใช้ในรูปแบบที่มีเพียงระบบย่อยที่เชื่อถือได้ของระบบความปลอดภัยเฉพาะแห่ง เท่านั้นที่มีสิทธิเข้าถึงหลักฐานรับรองผู้ใช้ในรูปแบบข้อความล้วน 8. วิธีการตามข้อถือสิทธิที่ 7 ในที่ซึ่งการดำเนินการของการตรวจสอบนโยบายจะกระทำโดยผู้ กำหนดสิทธิความปลอดภัยเฉพาะแห่ง (แอลเอสเอ - Local Security Authority, LSA) และระบบย่อยที่ เชื่อถือได้จะเป็นระบบย่อยที่เชื่อถือได้ของแอลเอสเอ 9. วิธีการตามข้อถือสิทธิที่ 1 ยังประกอบด้วย: หลังจากการสถาปนาเซสชั่น (session) ระหว่างลูกข่ายและแม่ข่ายแล้ว จะมีการพิสูจน์คีย์ สาธารณะของแม่ข่าย 1 0. วิธีการตามข้อถือสิทธิที่ 1 ในที่ซึ่งขั้นตอนตังกล่าวถูกดำเนินการผ่านทางคอมโพเนนต์ (component) ของผู้ให้บริการที่สนับสนุนความปลอดภัยของหลักฐานรับรองบนเครือข่ายซึ่งพร้อมใช้งานต่อ ลูกข่ายที่ทำการร้องขอผ่านทางอินเทอร์เฟซของผู้ให้บริการที่สนับสนุนความปลอดภัยบนเครือข่าย (เอสเอส พีไอ - Security Support Provider Interface, SSPI) 1 1. วิธีการตามข้อถือสิทธิที่ 1 ในที่ซึ่งสัญญาณเริ่มต้นการถามสถานะการติดต่อเป็นสัญญาณถาม สถานะการติดต่อไปยังโพรโตคอลที่เป็นเกณฑ์วิธีป้องกันชั้นช็อกเก็ต (เอสเอสแอล - Secure Sockets Layer , SSL) หรือโพรโตคอลที่เป็นเกณฑ์วิธีป้องกันชั้นทรานสปอร์ต (ทีแอลเอส- Transport Layer Security, TLS) 1 2. วิธีการตามข้อถือสิทธิที่ 1 ในที่ซึ่งการต่อรองประกอบด้วยการต่อรองโดยใช้กลไกการต่อรอง ผ่านอินเทอร์เฟซของโปรแกรมประยุกต์ที่ใช้เพื่อรักษาความปลอดภัยทั่วไป (จีเอสเอสเอพีไอ) ที่ไม่ยุ่งยาก และมีการป้องกัน(Simple and Protected Generic Security Service Application Program Interface (GSSAPI) Negotiation Mechanism) หรือเรียกสั้นๆ ว่า เอสพีเอ็นอีจีโอ (SPNEGO) 1 3. วิธีการตามข้อถือสิทธิที่ 1 ในที่ซึ่งแพ็คเกจที่ใช้ในการพิสูจน์ตัวตนที่ได้เลือกไว้คือเคอร์เบอร์ รอส (Kerberos) หรือตัวจัดการเครือข่ายเฉพาะที่บนวินโดวส์เอ็นที (เอ็นทีแอลเอ็ม - Windows NT Local Area Network (LAN) Manager; NTLM) 1 4. วิธีการตามข้อถือสิทธิที่ 1 ในที่ซึ่งความลับที่ใช้ร่วมกันดังกล่าวคือคีย์ของเซสชั่น (session) ที่ใช้ ร่วมกัน 1 5. อุปกรณ์คอมพิวเตอร์ลูกข่าย ประกอบด้วย: คอมโพเนนต์ของผู้ให้บริการที่สนับสนุนความปลอดภัยของหลักฐานรับรองบนเครือข่าย สำหรับจัดการกับการร้องขอจากอุปกรณ์คอมพิวเตอร์ลูกข่ายเพื่อใช้โปรแกรมประยุกต์, บริการ และ ทรัพยากรอย่างน้อยที่สุดหนึ่งอย่างของแม่ข่ายในสภาพแวดล้อมทางคอมพิวเตอร์แบบเครือข่าย ในที่ซึ่งการ ร้องขอเกี่ยวพันกับการมอบหมายหลักฐานรับรองผู้ใช้จากอุปกรณ์คอมพิวเตอร์ลูกข่ายให้กับแม่ข่าย ในที่ซึ่งคอมโพเนนต์ของผู้ให้บริการที่สนับสนุนความปลอดภัยของหลักฐานรับรองบน เครือข่ายทำการเริ่มต้นส่งสัญญาณถามสถานะการติดต่อระหว่างลูกข่ายและแม่ข่าย, รวมทั้งการได้รับกุญแจ สาธารณะ [เคพับ (Kpub)] ของแม่ข่ายโดยลูกข่าย, ทำการต่อรองเพื่อเลือกผู้ให้บริการที่สนับสนุนความ ปลอดภัยบนเครือข่ายที่ลูกข่ายและแม่ข่ายใช้ร่วมกันเพื่อจะใช้งานเป็นแพ็คเกจที่ใช้ในการพิสูจน์ตัวตน สำหรับการพิสูจนตัวตนของการสื่อสารระหว่างลูกข่ายและแม่ข่ายและดำเนินการตามขั้นตอนเพื่อพิสูจน์ ตัวตนลูกข่ายและแม่ข่ายโดยใช้แพ็คเกจที่ใช้ในการพิสูจน์ตัวตนนั้น และ ในที่ซึ่ง เฉพาะภายหลังถ้าการพิสูจน์ตัวตนเกิดขึ้นแล้ว คอมโพเนนต์ของผู้ให้บริการที่ สนับสนุนความปลอดภัยของหลักฐานรับรองบนเครือข่ายจะทำการสถาปนาเซสชั่น(session)ระหว่างลูกข่าย และแม่ข่ายและสร้างความลับที่ใช้ร่วมกันเพื่อเข้ารหัสลับกับข้อความที่สื่อสารอยู่ระหว่างลูกข่ายและแม่ข่าย ตามเซสชั่น(session)นั้น, และจากการได้รับการบ่งชี้ของการจัดกลุ่มสำหรับแม่ข่ายดำเนินการตรวจสอบ นโยบายตามข้อกำหนดของอย่างน้อยหนึ่งนโยบายที่ประกาศไว้ก่อนซึ่งถูกใช้เพื่อควบคุมและจำกัดการ มอบหมายหลักฐานรับรองผู้ใช้จากอุปกรณ์คอมพิวเตอร์ลูกข่ายให้กับแม่ข่าย, นโยบายนั้นตรวจสอบโดย อาศัยการจัดกลุ่มแม่ข่ายที่ได้รับ และพิสูจน์ตัวจริง เคพับ (Kpub) ของแม่ข่าย โดย; การเข้ารหัสเคพับ (Kpub) ด้วยความลับร่วมดังกล่าว การส่งเคพับ (Kpub) ที่เข้ารหัสแล้วแก่แม่ข่าย การได้รับการตอบสนองจากแม่ข่าย และ การทวนสอบว่าการตอบสนองนั้นครอบคลุม [เคพับ (Kpub) +1] เข้ารหัสด้วยความลับร่วม ดังกล่าว และ ทำการส่งต่อหลักฐานรับรองของผู้ใช้ให้กับแม่ข่ายเพื่อสิทธิการเข้าถึงโปรแกรมประยุกต์ นั้น, งานบริการดังกล่าว และทรัพยากรดังกล่าวอย่างน้อยที่สุดหนึ่งอย่างที่ถูกร้องขอของแม่ข่ายจากลูกข่ายก็ ต่อเมื่อการตรวจสอบนโยบายมีผลว่าผ่าน และการตอบสนองนั้นถูกทวนสอบ 1 6. อุปกรณ์คอมพิวเตอร์ลูกข่ายตามข้อถือสิทธิที่ 15 ในที่ซึ่งคอมโพเนนต์ของผู้ให้บริการที่ สนับสนุนความปลอดภัยของหลักฐานรับรองบนเครือข่ายจะส่งต่อหลักฐานรับรองของผู้ใช้ในรูปแบบ ดังกล่าวระบบย่อยที่เชื่อถือได้ของผู้กำหนดสิทธิความปลอดภัยเฉพาะแห่ง (แอลเอสเอ) เท่านั้นที่จะสามารถ ถอดรหัสให้อยู่ในรูปแบบที่เป็นข้อความล้วนได้ 1 7. อุปกรณ์คอมพิวเตอร์ลูกข่ายตามข้อถือสิทธิที่ 15 ในที่ซึ่งอย่างน้อยหนึ่งนโยบายที่ประกาศไว้ ก่อนจะจัดการบรรเทาการโจมตีในวงกว้างซึ่งครอบคลุมถึงอย่างน้อยหนึ่งในจำพวกโทรจันหรือโปรแกรม ประสงค์ร้ายที่ทำงานอยู่บนเครื่องลูกข่าย, การตั้งค่านโยบายแบบกลุ่มโดยปริยายและค่านโยบายแบบกลุ่มที่ ผู้ดูแลระบบของเครื่องลูกข่ายสำมารถกำหนดค่าได้, บริการชื่อโดเมน (ดีเอ็นเอส) ที่เป็นอันตราย เพื่อ หลีกเลี่ยงปัญหาแม่ข่ายประสงค์ร้ายและการโจมตีโดยปฏิเสธการให้บริการ 1 8. อุปกรณ์คอมพิวเตอร์ลูกข่ายตามข้อถือสิทธิที่ 15 ในที่ซึ่งอย่างน้อยหนึ่งนโยบายที่ประกาศไว้ ก่อนประกอบด้วยนโยบายของการมอบหมายซึ่งมีรากฐานจากหลักฐานรับรองประเภทใดก็ตามจาก หลักฐานรับรองใหม่, หลักฐานรับรองที่บันทึกไว้ หรือหลักฐานรับรองโดยปริยาย 1 9. ระบบการปฎิบัติให้เกิดผลคอมพิวเตอร์ในการมอบหมายหลักฐานรับรองผู้ใช้จากลูกข่ายให้กับ แม่ข่ายในสภาพแวดล้อมทางคอมพิวเตอร์แบบเครือข่ายในบทบาทที่เป็นส่วนหนึ่งของการลงชื่อเข้าใช้บน ทรัพยากรของแม่ข่ายเพียงครั้งเดียว ระบบดังกล่าวประกอบด้วย: ตัวประมวลผลอย่างน้อยที่สุดหนึ่งตัวประมวลผล และ หน่วยความจำ ต่อพ่วงสื่อสารกับตัวประมวลผลอย่างน้อยที่สุดหนึ่งตัวประมวลผลและการ บรรจุคำสั่งต่างๆไว้ เมื่อกระทำการโดยตัวประมวลผลอย่างน้อยที่สุดหนึ่งตัวประมวลผลดำเนินการวิธีการ หนึ่ง วิธีการดังกล่าวประกอบด้วย : การส่งคำขอจากลูกข่ายสำหรับโปรแกรมประยุกต์ งานบริการและทรัพยากรอย่างน้อย ที่สุดหนึ่งอย่างของแม่ข่ายในสภาพแวดล้อมคอมพิวเตอร์ที่มีเครือข่ายนั้นบ่งบอกเป็นนัยยะการมอบหมาย ของหลักฐานรับรองผู้ใช้จากลูกข่ายแก่แม่ข่ายดังกล่าว การริเริ่มการร่วมมือระหว่างลูกข่ายกับแม่ข่าย รวมทั้งการได้รับกุญแจสาธารณะ [เคพับ (Kpub)] ของแม่ข่ายโดยลูกข่ายดังกล่าว การต่อรองกับแม่ข่ายดังกล่าวเพื่อคัดเลือกแพ็คเกจที่ใช้ในการพิสูจน์ตัวตนซึ่งถูกใช้ร่วมกัน ระหว่างลูกข่ายและแม่ข่ายเพื่อใช้เป็นกลไกพิสูจน์ตัวตนสำหรับการพิสูจน์ตัวตนของการสื่อสารระหว่างลูก ข่ายและแม่ข่าย การพิสูจน์ตัวตนแม่ข่ายด้วยการใช้แพ็คเกจที่ใช้ในการพิสูจน์ตัวตนที่ได้คัดเลือกไว้เป็น กลไกการพิสูจน์ตัวตน การกำหนดการพิสูจน์ตัวตนเกิดขึ้นตรงกับขั้นตอนการพิสูจน์ตัวตนดังกล่าวหรือไม่ และ เฉพาะเมื่อการพิสูจน์ตัวตนเกิดขึ้นแล้ว จะมีการสถาปนาเซสชั่น(session)ระหว่างลูกข่ายและแม่ข่ายซึ่ง ครอบคลุมถึงการสร้างความลับที่ใช้ร่วมกันสำหรับการเข้ารหัสลับกับข้อความที่สื่อสารอยู่ระหว่างลูกข่าย และแม่ข่าย และ การได้รับ บนลูกข่าย การบ่งชี้ในการจัดกลุ่มสำหรับแม่ข่ายนั้น ก่อนการส่งผ่านหลักฐานรับรองผู้ใช้สำหรับการ้องขอดังกล่าว การดำเนินการตรวจสอบ นโยบายตามนโยบายตรงกับที่กำหนดไว้ล่วงหน้าอย่างน้อยที่สุดหนึ่งนโยบายนิยามสำหรับหลักฐานรับรอง ผู้ใช้เพื่อจะกำหนดแม่ข่ายที่ได้รับความเชื่อถือด้วยหลักฐานรับรองผู้ใช้หรือไม่ ซึ่งเป็นที่นโยบายนิยามไว้ ล่วงหน้าอยู่บนพื้นฐานการจัดกลุ่มแม่ข่ายที่ได้รับ การพิสูจน์ตัวตนเคพับ (Kpub) ของแม่ข่ายโดย: การเข้ารหัสเคพับ (Kpub) ด้วยความลับร่วมดังกล่าว การส่งเคพับ (Kpub) ที่เข้ารหัสแล้วแก่แม่ข่าย การได้รับการตอบสนองจากแม่ข่าย และ การทวนสอบว่าการตอบสนองนั้นครอบคลุม [เคพับ (Kpub) +1] เข้ารหัสด้วย ความลับร่วมดังกล่าว และ ถ้าแม่ข่ายได้รับความเชื่อถือตามนโยบายที่นิยามไว้ล่วงหน้าและการตอบสนองถูกทวน สอบ การส่งผ่านหลักฐานรับรองของผู้ใช้ให้กับแม่ข่ายเพื่อสิทธิในการเข้าถึงโปรแกรมประยุกต์นั้น งานบริการดังกล่าว และทรัพยากรดังกล่าวอย่างน้อยที่สุดหนึ่งอย่างของแม่ข่ายจากลูกข่าย --------------------------- 1. วิธีการในการหมอบหลักฐานรับรองจากลูกข่ายให้กับแม่ข่ายในสภาพแวดล้อมทาง คอมพิวเตอร์แบบเครือข่าย ประกอบด้วย: การร้องขอโปรแกรมประยุกต์, บริการ หรือทรัพยากรอย่างน้อยที่สุดหนึ่งอย่างของแม่ ข่ายจากลูกข่ายในสภาพแวดล้อมทางคอมพิวเตอณ์แบบเครือข่ายซึ่งเกี่ยวข้องกับการมอบหมายหลักฐาน รับรองผู้ใช้จากลูกข่ายให้กับแม่ข่าย การเริ่มต้นส่งสัญญาณถามสถานะการติดต่อระหว่างลูกข่ายและแม่ข่ายรวมทั้งการได้รับ กุญแจสาธารณะ [เคพับ(Kpub)] ของแม่ข่ายโดยลูกข่ายดังกล่าว การต่อรองเพือเลือกแพ็คเกจ (package) ที่ใช้ในการพิสูจน์ตัวตนซึ่งถูกใช้ร่วมกันระหว่าง ลูกข่ายและแม่ข่ายเพื่อใช้เป็นกลไกพิสูจน์ตัวตนสำหรับการพิสจน์ตัวตนของการสื่อสารระหว่างลูกข่ายและ แม่ข่าย การพิสูจน์ตัวตนของแม่ข่ายด้วยการใช้แพ็คเกจที่ใช้ในการพิสูจน์ตัวตนที่ได้เลือกไว้เป็น กลไกพิสูจน์ตัวตน การตัดสินใจว่าการพิสูจน์ตัวตนซึ่งกันและกันได้เกิดขึ้นตามขั้นตอนการพิสูจน์ตัวตนดังกล่าวแล้วหรือยัง และถ้าเกิดการพิสูจน์ตัวตนแล้ว จะมีการสถาปนาเซสชั่น (session) ระหว่างลูกข่ายและแม่ข่ายซึ่งครอบคลุม ถึงการสร้างความลับที่ใช้ร่วมกันเพื่อการเข้ารหัสลับกับข้อความที่สื่อสารอยู่ระหว่างลูกข่ายและแม่ข่าย การได้รับบนลูกข่าย การบ่งชี้การจัดกลุ่มสำหรับแม่ข่ายดังกล่าว ก่อนหน้าที่จะมีการส่งต่อหลักฐานรับรองสำหรับการร้องขอ ยังมีการดำเนินการตรวจสอบ นโยบายตามข้อกำหนดของอย่างน้อยหนึ่งนโยบายที่ประกาศไว้ก่อนซึ่งได้กำหนดให้กับหลักฐานรับรองผู้ใช้ เพื่อใช้ตัดสินใจว่าแม่ข่ายจะได้รับความเชื่อถือในเรื่องหลักฐานรับรองของผู้ใช้หรือไม่ ซึ่งเป็นที่นโยบาย กำหนดไว้ก่อนอยู่บนพื้นฐานของการจัดกลุ่มแม่ข่ายที่ได้รับนั้น การพิสูจน์ตัวตนเคพับ (Kpub) ของแม่ข่ายโดย: การเข้ารหัส เคพับ (Kpub) กับความลับร่วมนั้น การส่ง เคพับ (Kpub) ที่เข้ารหัสให้กับแม่ข่ายดังกล่าว การได้รับการตอบสนองจากแม่ข่ายนั้น และ การทวนสอบว่าการตอบสนองรวมทั้ง [เคพับ (Kpub)+1] เข้ารหัสกับความลับร่วม นั้น และ ถ้าแม่ข่ายได้รับความเชื่อถือตามนโยบายที่กำหนดไว้ล่วงหน้าและการตอบสนองนั้นถูก ทวนสอบแล้ว จะมีการส่งต่อหลักฐานรับรองของผู้ใช้กับแม่ข่ายเพื่อได้รับสิทธิในการเข้าถึงโปรแกรม ประยุกต์,บริการ หรือทรัพยากรอย่างน้อยที่สุดหนึ่งอย่างที่ร้องของของแม่ข่ายจากลูกข่ายดังกล่าว 2. วิธีการตามข้อถือสิทธิที่ 1 ในที่ซึ่งอย่างน้อยหนึ่งนโยบายที่ประกาศไว้ก่อน คือ นโยบาย มากมายที่ถูกใช้เพื่อควบคุมและจำกัดการมอบหมายหลักฐานรับรองผู้ใช้จากลูกข่ายให้กับแม่ข่าย 3. วิธีการตามข้อถือสิทธิที่ 2 ในที่ซึ่งนโยบายมากมายจะจัดการบรรเทาการโจมตีในวงกว้าง ซึ่งครอบคลุมถึงอย่างน้อยหนึ่งในจำพวกโทรจัน (Trojan) หรือโปรแกรมประสงค์ร้ายที่ทำงานอยู่บนเครื่อง ลูกข่าย, การตั้งค่านโยบายแบบกลุ่มโดยปริยายและค่านโยบายแบบกลุ่มที่ผู้ดูแลระบบของเครื่องลูกข่าย สามารถกำหนดค่าได้, บริการชื่อโดเมน (ดีเอ็นเอส - domain namc service, DNS) ที่เป็นอันตราย เพื่อ หลีกเลี่ยงปัญหาแม่ข่ายประสงค์ร้ายและการโจมตีโดยปฏิเสธการให้บริการ 4. วิธีการตามข้อถือสิทธิที่ 2 ในที่ซึ่งนโยบายมากมายประกอบด้วยนโยบายต่างๆ ซึ่งเป็นอย่าง น้อยหนึ่งในการมอบหมายที่ได้รับการยอมรับหรือปฏิเสธโดยยึดหลักตามรายการของชื่อบริการหลัก (เอสพี เอ็น - service principle names, SPN) ของแม่ข่าย 5. วิธีการตามข้อถือสิทธิที่ 1 ในที่ซึ่งการดำเนินการประกอบด้วยการดำเนินการตรวจสอบ นโยบายตามข้อกำหนดของความต้านทานสัมพัทธ์ของกลไกพิสูจน์ตัวตน 6. วิธีการตามข้อถือสิทธิที่ 1 ในที่ซึ่งการดำเนินการประกอบด้วยการดำเนินการตรวจสอบ นโยบายตามข้อกำหนดของอย่างน้อยหนึ่งนโยบายที่ประกาศไว้ก่อนซึ่งได้ประกาศโดยมีรากฐานจาก ประเภทของหลักฐานรับรองผู้ใช้ 7. วิธีการตามข้อถือสิทธิที่ 6 ในที่ซึ่งการดำเนินการประกอบด้วยการดำเนินการตรวจสอบ นโยบายตามข้อกำหนดของอย่างน้อยหนึ่งนโยบายที่ประกาศไว้ก่อนซึ่งได้ประกาศโดยมีรากฐานจาก หลักฐานรับรองประเภทใดก็ตามจากหลักฐานรับรองใหม่, หลักฐานรับรองที่บันทึกไว้ หรือหลักฐานรับรอง โดยปริยาย 8. วิธีการตามข้อถือสิทธิที่ 1 ในที่ซึ่งการส่งต่อหลักฐานรับรองของผู้ใช้ดังกล่าวประกอบด้วย การส่งต่อหลักฐานรับรองของผู้ใช้ในรูปแบบที่มีเพียงระบบย่อยที่เชื่อถือสได้ของระบบความปลอดภัยเฉพาะ แห่งเท่านั้นที่มีสิทธิ์เข้าถึงหลักฐานรับรองของผู้ใช้ในรูปแบบข้อความล้วน 9. วิธีการตามข้อถือสิทธิที่ 8 ในที่ซึ่งการดำเนินการของการตรวจสอบนโยบายจะกระทำโดย ผู้กำหนดสิทธิ์ความปลอดภัยเฉพาะแห่ง (แอลเอสเอ - Local Security Authority LSA) และระบบย่อยที่ เชื่อถือได้จะเป็นระบบย่อยที่เชื่อถือได้ของแอลเอสเอ 1 0. วิธีการตามข้อถือสิทธิที่ 1 ยังประกอบด้วย: หลังจากการสถาปนาเซสชั่นระหว่างลูกข่ายและแม่ข่ายแล้ว จะมีการพิสูจน์คีย์สาธารณะ ของแม่ข่าย 1 1. วิธีการตามข้อถือสิทธิที่ 1 ในที่ซึ่งขั้นตอนดังกล่าวถูกดำเนินการผ่านทางคอมโพเนนต์ (componcnt) ของผู้ให้บริการที่สนับสนุนความปลอดภัยของหลักฐานรับรองบนเครือข่ายซึ่งพร้อมใช้งานต่อ ลูกข่ายที่ทำการร้องขอผ่านทางอินเทอร์เฟซของผู้ให้บริการที่สนับสนุนความปลอดภัยบนเครือข่าย (เอสเอส พีไอ - Security Support Provider interface, SSPI) 1 2. วิธีการตามข้อถือสิทธิที่ 1 ในที่ซึ่งสัญญาณเริ่มต้นในการถามสถานะการติดต่อระหว่างลูก ข่ายและแม่ข่ายเป็นสัญญาณถามสถานะการติดต่อระหว่างลูกข่ายและแม่ข่ายตามข้อกำหนดของโพรโตคอล ที่เป็นเกณฑ์วิธีป้องกันชั้นซ็อกเก็ต (เอสเอสแอล - Secure Sockets Layer , SSL) และโพรโตคอลที่เป็น เกณฑ์วิธีป้องกันชั้นทรานสปอร์ต (ทีแอลเอส - Transport Layer Security, TLS) 1 3. วิธีการตามข้อถือสิทธิที่ 1 ในที่ซึ่งการต่อรองประกอบด้วยการต่อรองโดยใช้กลไกการ ต่อรองผ่านอินเทอร์เฟซของโปรแกรมประยุกต์ที่ใช้เพื่อรักษาความปลอดภัยทั่วไป (จีเอสเอสเอพีไอ) ที่ไม่ ยุ่งยากและมีการป้องกัน (Simple and Protected Generic Sccurity Service Application Program Interface (GSSAPI) Negotiation Mechanism) หรือเรียกสั้นๆ ว่า เอสพีเอ็นอีจีโอ (SPNEGO) 1 4. วิธีการตามข้อถือสิทธิที่ 1 ในที่ซึ่งแพ็คเกจที่ใช้ในการพิสูจน์ตัวตนที่ได้เลือกไว้คือประเภท ใดประเภทหนึ่งในเคอร์เบอร์รอส (Kerberos) หรือตัวจัดการเครือข่ายเฉพาะที่บนวินโดวส์เอ็นที (เอ็นทีแอล เอ็ม - Windows NT Local Area Network (LAN) Manager, NTLM) 1 5. วิธีการตามข้อถือสิทธิที่ 1 ในที่ซึ่งความลับที่ใช้ร่วมกันดังกล่าวคือคีย์ของเซสชั่นที่ใช้ ร่วมกัน 1 6. อินเทอร์เฟซของโปรแกรมประยุกต์ประกอบด้วยโมดูลต่างๆ ของอินเทอร์เฟซที่ คอมพิวเตอร์สามารถกระทำการได้ซึ่งมีคำสั่งงานต่างๆ ที่คอมพิวเตอร์สามารถกระทำการได้ที่ใช้เพื่อ ดำเนินการตามวิธีการในข้อถือสิทธิที่ 1 1 7. อุปกรณ์คอมพิวเตอร์ลูกข่าย ประกอบด้วย: คอมโพเนนต์ของผู้ให้บริการที่สนับสนุนความปลอดภัยของหลักฐานรับรองบนเครือข่าย สำหรับจัดการกับการร้องขอจากอุปกรณ์คอมพิวเตอร์ลูกข่ายเพื่อใช้โปรแกรมประยุกต์, บริการ หรือ ทรัพยากรของแม่ข่ายในสภาพแวดล้อมทางคอมพิวเตอร์แบบเครือข่าย ในที่ซึ่งการร้องขอเกี่ยวพันกับการ มอบหมายหลักฐานรับรองผู้ใช้จากอุปกรณ์คอมพิวเตอร์ลูกข่ายให้กับแม่ข่าย ในที่ซึ่งคอมโพเนนต์ของผู้ให้บริการที่สนับสนุนความปลอดภัยของหลักฐานรับรองบน เครือข่ายทำการเริ่มต้นส่งสัญญาณถามสถานะการติดต่อระหว่างลูกข่ายและแม่ข่าย, ทำการต่อรองเพื่อเลือกผู้ ให้บริการที่สนับสนุนความปลอกภัยบนเครือข่ายที่ลูกข่ายและแม่ข่ายใช้ร่วมกันเพื่อจะใช้งานเป็นแพ็คเกจที่ ใช้ในการพิสูจน์ตัวตนสำหรับการพิสูจนตัวตนของการสื่อสารระหว่างลูกข่ายและแม่ข่าย, ดำเนินการตาม ขั้นตอนเพื่อพิสูจน์ตัวตนซึ่งกันและกันระหว่างลูกข่ายและแม่ข่ายโดยใช้แพ็คเกจที่ใช้ในการพิสูจน์ตัวตนนั้น ในที่ซึ่งถ้าการพิสูจน์ตัวตนซึ่งกันและกันได้เกิดขึ้นแล้ว คอมโพเนนต์ของผู้ให้บริการที่ สนับสนุนความปลอดภัยของหลักฐานรับรองบนเครือข่ายจะทำการสถาปนาเซสชั่นระหว่างลูกข่ายและแม่ ข่ายและสร้างความลับที่ใช้ร่วมกันเพื่อเข้ารหัสลับกับข้อความที่สื่อสารอยู่ระหว่างลูกข่ายและแม่ข่ายตาม เซสชั่นนั้น, ดำเนินการตรวจสอบนโยบายตามข้อกำหนดของอย่างน้อยหนึ่งนโยบายที่ประกาศไว้กอนซึ่งถูก ใช้เพื่อควบคุมและจำกัดการมอบหมายหลักฐานรับรองผู้ใช้จากอุปกรณ์คอมพิวเตอร์ลูกข่ายให้กับแม่ข่าย, และทำการส่งต่อหลักฐานรับรองของผู้ใช้ให้กับแม่ข่ายเพื่อสิทธิ์ของลูกข่ายในการเข้าถึงโปรแกรมประยุกต์, บริการ หรือทรัพยากรของแม่ข่ายก็ต่อเมื่อการตรวจสอบนโยบายมีผลว่าผ่าน 1 8. อุปกรณ์คอมพิวเตอร์ลูกข่ายตามข้อถือสิทธิที่ 17 ในที่ซึ่งคอมโพเนนต์ของผู้ให้บริการที่ สนับสนุนความปลอดภัยของหลักฐานรับรองบนเครือข่ายจะส่งต่อหลักฐานรับรองของผู้ใช้ในรูปแบบที่มี เพียงระบบย่อยที่เชื่อถือได้ของผู้กำหนดสิทธิ์ความปลอดภัยเฉพาะแห่ง (แอลเอสเอ) เท่านั้นที่จะสามารถ ถอดรหัสให้อยู่ในรูปแบบที่เป็นข้อความล้วนได้ 1 9. อุปกรณ์คอมพิวเตอร์ลูกข่ายตามข้อถือสิทธิที่ 17 ในที่ซึ่งอย่างน้อยหนึ่งนโยบายีที่ประกาศ ไว้ก่อนจะจัดการบรรเทาการโจมตีในวงกว้างซึ่งครอบคลุมถึงอย่างน้อยหนึ่งในจำพวกโทรจันหรือ โปรแกรมประสงค์ร้ายที่ทำงานอยู่บนเครื่องลูกข่าย, การตั้งค่านโยบายแบบกลุ่มโดยปริยายและค่านโยบาย แบบกลุ่มที่ผู้ดูแลลระบบของเครื่องลูกข่ายสามารถกำหนดค่าได้, บริการชื่อโดเมน (ดีเอ็นเอส) ที่เป็นอันตราย เพื่อหลีกเลี่ยงปัญหาแม่ข่ายประสงค์ร้ายและการโจมตีโดยปฏิเสธการให้บริการ 2 0. อุปกรณ์คอมพิวเตอร์ลูกข่ายตามข้อถือสิทธิที่ 17 ในที่ซึ่งอย่างน้อยหนึ่งนโยบายที่ประกาศ ไว้ก่อนประกอบด้วยนโยบายของการมอบหมายที่มีรากฐานมาจากความต้านทานสัมพัทธ์ของกลไกพิสูจน์ ตัวตน 2

1. อุปกรณ์คอมพิวเตอร์ลูกข่ายตามข้อถือสิทธิที่ 17 ในที่ซึ่งอย่างน้อยหนึ่งนโยบายที่ประกาศ ไว้ก่อนประกอบด้วยนโยบายของการมอบหมายซึ่งมีรากฐานจากหลักฐานรับรองประเภทใดก็ตามจาก หลักฐานรับรองใหม่, หลักฐานรับรองที่บันทึกไว้ หรือหลักฐานรับรองโดยปริยาย 2

2. วิธีการในการมอบหมายหลักฐานรับรองผู้ใช้จากลูกข่ายให้กับแม่ข่ายในสภาพแวดล้อมทาง คอมพิวเตอร์แบบเครือข่ายในบทบาทที่เป็นส่วหนึ่งของการลงชื่อเข้าใช้ทรัพยากรของแม่ข่ายเพียงครั้งเดียว ประกอบด้วย; การรับหลักฐานรับรองของผู้ใช้ผ่านทางการลงชื่อเพียงครั้งเดียวของคอมโพเนนต์ในระบบ ติดต่อผู้ใช้ของลูกข่ายเพื่อเข้าถึงชุดทรัพยากรของแม่ข่าย และในการตอบสนอง การเริ่มต้นส่งสัญญาณถามสถานะการติดต่อระหว่างลูกข่ายและแม่ข่ายตามข้อกำหนดของ โพรโตคอลที่เป็นเกณฑ์วิธีป้องกันชั้นทรานสปอร์ต (ทีแอลเอส) การต่อรองเพื่อเลือกแพ็คเกจที่ใช้ในการพิสูจน์ตัวตนซึ่งถูกใช้ร่วมกันระหว่างลูกข่ายและ แม่ข่ายเพื่อใช้เป็นกลไกพิสูจน์ตัวตนสำหรับการพิสูจน์ตัวตนของการสื่อสารระหว่างลูกข่ายและแม่ข่าย การพิสูจน์ตัวตนซึ่งกันและกันของแม่ข่ายและลูกข่ายด้วยการใช้แพ็คเกจที่ใช้ในการพิสูจน์ ตัวตนที่ได้เลือกไว้เป็นกลไกพิสูจน์ตัวตน ถ้าการพิสูจน์ตัวตนซึ่งกันและกันได้เกิดขึ้นแล้ว จะมีการสถาปนาเซสชั่นระหว่างลูกข่าย และแม่ข่ายซึ่งครอบคลุมถึงการสร้างความลับที่ใช้ร่วมกันสำหรับการเข้ารหัสลับกับข้อความที่สื่อสารอยู่ ระหวางลูกข่ายและแม่ข่าย และ การมอบหมายหลักฐานรับรองของผู้ใช้ให้กับแม่ข่ายเพื่อสิทธิ์ในการเข้าถึงชุดทรัพยากร อย่างปลอดภัย