Quá trình xác thực NTLM chỉ liên quan đến máy khách và máy chủ IIS7. Tuy nhiên, theo giao thức Kerberos dựa trên vé, một bên thứ ba đáng tin cậy cũng được bảo mật về quy trình xác thực này. Sự khác biệt nhỏ giữa hai yếu tố này được làm nổi bật thêm bởi những điểm khác biệt khác rõ ràng trong một phân tích so sánh.
NTLM và Kerberos
Sự khác biệt giữa NTLM và Kerberos là giao thức trước là giao thức xác thực dựa trên phản hồi thử thách, còn giao thức sau là giao thức xác thực dựa trên vé. NTLM đề cập đến giao thức xác thực được sử dụng bởi các mô hình Windows cũ hơn không phải là thành viên của miền Active Directory, trong khi Kerberos về cơ bản là một giao thức xác thực dựa trên vé được sử dụng trong các mô hình Windows mới hơn là thành viên của miền Active Directory.
Bảng so sánh giữa NTLM và Kerberos
| Các thông số so sánh | NTLM | Kerberos |
| Sự định nghĩa | NTLM là một giao thức xác thực của Microsoft được sử dụng trong các kiểu máy Windows cũ hơn không phải là thành viên của miền Active Directory. | Kerberos là một giao thức xác thực dựa trên vé được sử dụng trong các kiểu máy Windows mới nhất. Các máy tính này đã là thành viên của miền Active Directory. |
| Quy trình xác thực | Theo NTLM, giao thức xác thực chỉ liên quan đến máy khách và máy chủ IIS7. | Giao thức xác thực Kerberos liên quan đến máy khách, máy chủ cũng như đối tác vé bên thứ ba đáng tin cậy. Bên thứ ba thường là bộ điều khiển miền Active Directory. |
| Bảo vệ | NTLM kém bảo mật hơn giao thức Kerberos. | Giao thức xác thực Kerberos cung cấp khả năng bảo vệ nâng cao cho người dùng. Nó an toàn hơn đáng kể so với giao thức NTLM. |
| Chứng thực lẫn nhau | Tính năng xác thực lẫn nhau không có trong NTLM. | Tính năng xác thực lẫn nhau được bao gồm trong Kerberos. |
| Ủy quyền và Mạo danh | Ủy quyền không được hỗ trợ bởi NTLM. Giao thức NTML chỉ hỗ trợ mạo danh. | Cả ủy quyền và mạo danh đều được hỗ trợ bởi Kerberos. |
| Đăng nhập thẻ thông minh | Giao thức NTLM không cho phép đăng nhập hai yếu tố bằng cách sử dụng thẻ thông minh. | Quy trình đăng nhập hai yếu tố bằng cách sử dụng thẻ thông minh được giao thức Kerberos cho phép. |
| Khả năng tương thích | NTLM tương thích với các kiểu Windows cũ hơn, như Windows 95, Windows 98, NT 4.0, v.v. | Kerberos tương thích với tất cả các kiểu máy Windows mới nhất như Microsoft Windows 2000, XP và các kiểu máy khác. |
NTLM là gì?
Giao thức NTLM là một giao thức xác thực độc quyền của Windows sử dụng hệ thống phản hồi thử thách để xác thực thông tin đăng nhập. Hệ thống NTLM đã phổ biến trong các máy tính Windows cũ hơn không phải là thành viên của miền Active Directory.
Sau khi máy khách bắt đầu quá trình xác thực, bắt đầu bắt đầu bắt tay ba chiều giữa máy khách và máy chủ. Quá trình bắt đầu với việc khách hàng gửi một tin nhắn chỉ định tên tài khoản và khả năng mã hóa của họ. Do đó, máy chủ phản hồi bằng lỗi 64-bit. Phản hồi này được gọi là thách thức. Phản hồi của khách hàng bao gồm giá trị này và mật khẩu của chính họ.
Bảo mật do NTLM cung cấp kém hơn so với bảo mật được cung cấp bởi các phiên bản mới hơn của các giao thức xác thực khác. Giao thức xác thực này không sử dụng thủ tục ba bên. Do đó, nó được coi là kém an toàn hơn. Hơn nữa, các đăng nhập thẻ thông minh, xác thực lẫn nhau, ủy quyền, v.v. không được hỗ trợ bởi giao thức cũ hơn này.
Kerberos là gì?
Kerberos là một giao thức xác thực Window tương thích với các mẫu mới nhất do thương hiệu tung ra. Nó là một giao thức dựa trên vé được sử dụng bởi những PC Windows đã là thành viên của miền Active Directory. USP của giao thức này là nó có thể giảm tổng số mật khẩu mà người dùng cần để truy cập mạng xuống chỉ còn một mật khẩu.
Giao thức xác thực an toàn, tinh vi và tiên tiến này được thiết kế tại MIT. Nó đã được chấp nhận là giao thức xác thực tiêu chuẩn cho tất cả các máy tính - ngay từ mô hình Windows 2000 cho đến các mô hình mới hơn khác. Kerberos cũng bao gồm một số thông số kỹ thuật đáng gờm như xác thực lẫn nhau và đăng nhập thẻ thông minh.
Sự đảm bảo an ninh của giao thức Kerberos là chưa từng có. Nó sử dụng một bên thứ ba để xác thực thông tin đăng nhập. Điều này đảm bảo an toàn được nâng cao và giảm thiểu khả năng bị tổn thương của dữ liệu bí mật. Bằng cách hoạt động thông qua các trung tâm dữ liệu tập trung, Kerberos đảm bảo tính ổn định và bảo mật hơn nữa.
Sự khác biệt chính giữa NTLM và Kerberos
- Sự khác biệt chính giữa NTLM và Kerberos là NTLM là giao thức xác thực Microsoft dựa trên phản hồi thử thách được sử dụng trong các mô hình Windows cũ hơn không phải là thành viên của miền Active Directory, trong khi Kerberos là giao thức xác thực dựa trên vé được sử dụng trong phiên bản mới hơn các biến thể của mô hình Windows.
- Đăng nhập thẻ thông minh thông qua giao thức xác thực hai yếu tố được hỗ trợ bởi Kerberos. NTLM không hỗ trợ đăng nhập thẻ thông minh.
- Về mặt bảo mật, Kerberos có lợi thế hơn NTLM. NTLM tương đối kém bảo mật hơn Kerberos.
- Tính năng xác thực lẫn nhau có sẵn với Kerberos. Ngược lại, NTLM không cung cấp cho người dùng tính năng xác thực lẫn nhau này.
- Trong khi Kerberos hỗ trợ cả ủy quyền và mạo danh, NTLM chỉ hỗ trợ mạo danh.
- Quá trình xác thực theo giao thức NTLM liên quan đến máy khách và máy chủ. Tuy nhiên, theo giao thức Kerberos, một bên thứ ba đáng tin cậy được bảo mật đối với quá trình xác thực.
- Các mô hình Windows trước đó sử dụng giao thức NTLM. Điều này bao gồm các phiên bản như Windows 95, Windows 98, NT 4.0, v.v. Giao thức Kerberos được cài đặt sẵn trên các kiểu máy mới hơn như Microsoft Windows 2000, XP và các kiểu máy mới nhất khác.
Sự kết luận
Cả hai giao thức NTLM và Kerberos đều dựa trên chiến lược mật mã khóa đối xứng và cả hai đều là hệ thống xác thực thích hợp, mạnh mẽ. Cả hai có vẻ giống nhau hoàn toàn đối với người dùng mới làm quen, tuy nhiên, sự khác biệt giữa hai là khá rõ ràng.
NTLM là giao thức xác thực dựa trên phản hồi thử thách, trong khi Kerberos là giao thức xác thực dựa trên vé. Cái trước được sử dụng hầu hết trong các mẫu Windows cũ hơn. Mặc dù Windows đã duy trì khả năng tương thích ngược với giao thức này, nhưng việc sử dụng nó đã giảm đáng kể trong những năm qua.
Sự thay đổi này phần lớn là do sự phát triển của các giao thức bảo mật và phức tạp hơn như Kerberos. Kerberos cung cấp các tính năng nâng cao cũng như một lá chắn bảo vệ được cải thiện cho người dùng.
Do đó, trong một sự lựa chọn so sánh giữa hai giao thức, giao thức Kerberos mới hơn đã thành công ngoài sức tưởng tượng. Nó thể hiện một số tính năng hiện đại đáng thèm muốn nhất mà người ta có thể mong muốn trong một giao thức xác thực nâng cao.
Người giới thiệu
- http://www.hjp.at/(en)/doc/rfc/rfc4559.html
