Les nouveautés Kerberos dans Windows 2008 R2 et Windows 7


Bonjour, Windows 2008 R2 et Windows 7 sont sorties avec des nouveautés, notamment au niveau du fonctionnement du protocole Kerberos.

Parmi ces nouveautés, il y a la nouvelle GPO Kerberos “Use Forest Search Order”, cette GPO permet de définir une liste des forêts ayant les trusts avec celle-ci, elle permet au service KDC d’envoyer des requêtes dans l’ordre des forêts définies dans cette liste, afin de trouver le SPN en contactant les Global Catalog. Si la recherche est positive, alors un ticket Referral lui est retourné.

Si cette GPO n’est pas utilisée, alors le KDC ne va pas chercher les forêts listées pour résoudre le SPN, si la recherche du SPN échoue, alors NTLM sera utilisé.

Voici les captures d’écran des GPO Kerberos 2008 R2.

image

image

Quand la GPO est appliquée, les clefs de registre ForestSearchList et UseForestSearch sont créées.

image

image

Client Kerberos GPO.

image

En plus de cette GO, une nouvelle GPO Kerberos permet de faire le mappage de nom avec d’autres Realm kerberos.

image

La GPO ci-dessous permet d’utiliser l’algorithme d’encryption AES dès la requête AS (authentication service)

image

image

 

 

Restreindre l’utilisation du protocole NTLM.

 

A partir de 2008 R2 et Windows 7, vous avez la possibilité de restreindre l’utilsation du protocole NTLM, ceci peut se faire via des GPO qui sont décrites ci-dessous dans :

Computer Configuration –> Windows Settings –> Security Settings –> Local Policies –> Security Options

Network security: Restrict NTLM: Add remote server exceptions for NTLM authentication

Network security: Restrict NTLM: Add server exceptions in this domain

Network security: Restrict NTLM: Audit Incoming NTLM Traffic

Network security: Restrict NTLM: Audit NTLM authentication in this domain

Network security: Restrict NTLM: Incoming NTLM traffic

Network security: Restrict NTLM: NTLM authentication in this domain

Network security: Restrict NTLM: Outgoing NTLM traffic to remote servers

image

 

Lê Huu Duc


Comments (1)

  1. aw says:

    hai, I just want to tell you that I am just very new to blogs and seriously loved this website. More than likely I’m planning to bookmark your blog post .
    You amazingly come with really good posts. Thanks a lot for sharing your blog Microsoft.
    http://www.wisatasia.id/search/label/Wisata%20Kepulauan%20Riau

    http://www.wisatasia.id/search/label/Wisata%20Komodo

    http://www.wisatasia.id/search/label/Wisata%20Lombok

    http://www.wisatasia.id/search/label/Wisata%20Makasar

    http://www.wisatasia.id/search/label/Wisata%20Malang
    http://www.wisatasia.id/search/label/Wisata%20Manado

    http://www.wisatasia.id/search/label/Wisata%20Medan

    http://www.wisatasia.id/search/label/Wisata%20Minahasa

    http://www.wisatasia.id/search/label/Wisata%20Nusa%20Tenggara%20Barat

    http://www.wisatasia.id/search/label/Wisata%20Nusa%20Tenggara%20Timur

    http://www.wisatasia.id/search/label/Wisata%20Pantai

    http://www.wisatasia.id/search/label/Wisata%20Pantai%20Malang

    http://www.wisatasia.id/search/label/Wisata%20Papua

    http://www.wisatasia.id/search/label/Wisata%20Pulau

    http://www.wisatasia.id/search/label/Wisata%20Pulau%20Samalona

    http://www.wisatasia.id/search/label/Wisata%20Pulau%20Siladen

    http://www.wisatasia.id/search/label/Wisata%20Pulau%20Wayag

    http://www.wisatasia.id/search/label/Wisata%20Pulau%20Weh%20Sabang

    http://www.wisatasia.id/search/label/Wisata%20Puncak

    http://www.wisatasia.id/search/label/Wisata%20Raja%20Ampat

    http://www.wisatasia.id/search/label/Wisata%20Sulawesi%20dan%20Papua

    http://www.wisatasia.id/search/label/Wisata%20Sulawesi%20Selatan

    http://www.wisatasia.id/search/label/Wisata%20Sulawesi%20Utara

    http://www.wisatasia.id/search/label/Wisata%20Sumatera

    http://www.wisatasia.id/search/label/Wisata%20Sumatera%20Utara

    http://www.wisatasia.id/search/label/Wisata%20Taman%20Nasional

    http://www.wisatasia.id/search/label/Wisata%20Taman%20Safari

    http://www.wisatasia.id/search/label/Wisata%20Tanjung%20Lesung

    http://www.wisatasia.id/search/label/Wisata%20Trans%20Studio%20Bandung

    http://www.wisatasia.id/search/label/Wisata%20Trans%20Studio%20Makasar

    http://www.wisatasia.id/search/label/Wisata-Indonesia

    http://www.wisatasia.id