Mener Microsoft ødelegger for Kerberos

Den internasjonalt anerkjente sikkerhetseksperten Bruce Schneier avviser Microsofts forklaring på at implementasjonen av autentiseringsprotokollen Kerberos i Windows 2000 må betraktes som kompatibel med den definerte standarden.

Kerberos er en fritt tilgjengelig autentiseringsprotokoll som er utviklet av Massachusetts Institute of Technology. Spesifikasjonen kontrolleres av Internet Engineering Task Force (IETF). Den er også innlemmet i en rekke kommersielle produkter. Sist ute er Microsoft med en implementasjon i Windows 2000. Protokollen er oppkalt etter den trehodede hunden med slangekrave som i følge gresk mytologi vokter inngangen til underverdenen.

Kerberos bruker sterk kryptering slik at en klient og en tjener kan bevise hvem de er overfor hverandre over en ellers usikret nettverksforbindelse. Når identitetene er etablert, kan det videre sambandet krypteres. En Kerberos-tjener kan legges opp som en utsteder av "billetter" som gir klienten tilgang til andre tjenere i nettet. MIT tilbyr Kerberos som åpen kildekode, under en lisens tilsvarende den som brukes for BSD og vindussystemet X11.

Microsoft innrømmer at Kerberos-implementering i Windows avviker fra standarden ved at den benytter det såkalte "dataautoriseringsfeltet" i Kerberos-meldingene i til å utveksle aksessrettigheter mellom klient og tjener. Alle andre implementasjonene lar være å utnytte dette feltet. Microsofts argument er nettopp at siden ingen andre bruker feltet, og protokollen ikke spesifiserer noen oppgave for det, er det fullstendig harmløst av Microsoft å ta det i bruk.

Schneier avviser dette kontant. Han peker på at Microsoft har nektet å offentliggjøre detaljene om hvordan feltet faktisk brukes. Følgelig kan ikke andre leverandører av Kerberos-systemer støtte Windows 2000-klienter direkte, og Microsoft ødelegger for standardiseringen og interoperabiliteten i Kerberos.

Schneier er spesielt opprørt over at Microsoft ikke har fulgt standardprosedyren som IETF spesifiserer for leverandører som ønsker å bedre eller avvike fra en IETF-standard.

- På overflaten er dette bare en ekkel forretningspraksis, skriver Schneier i sitt månedlige nyhetsbrev Crypto-Gram. - Hvis du er et selskap som har investert i Unix-basert Kerberos-autentisering, og du ønsker å støtte Windows 2000-klienter, har du ikke noe annet alternativ enn å kjøpe en Windows 2000 Kerberos-tjener og betale for integreringen. Jeg er sikker på at dette er Microsofts hensikt.

Men Schneier er mer bekymret over selve sikkerheten.

- Protokoller er veldig skjøre. Det er noe vi har lært om og om igjen. Du kan ikke bare endre en sikkerhetsprotokoll og så anta at den endrede protokollen vil være sikker. Microsoft har tatt Kerberos-protokollen, en publisert protokoll som har vært gjennom et tiår med forbedringer etter åpen kildekode-modellen, og har gjort endringer som virker inn på sikkerheten. Enda verre: De har holdt endringene hemmelige.

Schneiers konklusjon er klar: Kerberos i Windows 2000 er ikke Kerberos.

Her er en liste over flere nettsteder med mye bakgrunnsinformasjon:
Kerberos-dokumenter

Her er flere atikler der blant Microsofts syn kommer fram:
Microsoft: - Windows 2000 er kompatibel med Kerberos-protokollen
Vellykket Windows 2000-lansering i Norge
Microsoft slår tilbake mot Novell
Solaris gratis for nesten alle

Se også disse pekerne til Bruce Schneier og hans selskap Counterpane:

– Fremmede makter angriper oss daglig

Hør professor Olav Lysne og direktør Bjørn Erik Thon i Datatilsynet diskutere personvern, rikets sikkerhet og det digitale grenseforsvaret i vår nye podkast «Dobbeltklikk».

Til toppen