Windows 2000 Architecture de Sécurité

Modèle de sécurité Windows 2000

Principes de sécurité Utilisateurs prédéfinis Compte SYSTEM ou LocalSystem Administrateur Invité |USR_nommachine (Accès anonymes IIS) |WAM_nommachine (Applications IIS Hors Processus) TSInternetUser (Terminal Serveur) Krbtgt (Kerbéros)

Principes de sécurité Groupes prédéfinis Administrateurs Invités Utilisateurs Authentifiés Opérateurs Duplicateur

Principes de sécurité Groupes prédéfinis sur un contrôleur de domaine Admins du domaine Editeurs de certificats Utilisateurs du domaine Ordinateurs du domaine Invités du domaine Propriétaires créateurs de stratégie de groupe Accès compatible pré-windows 2000 Serveurs RAS et IAS DnsAdmins Administrateurs de lentreprise (niveau forêt) Administrateurs du schéma

Principes de sécurité Identités spéciales INTERACTIF (utilisateurs en session local ou TSE) Tout le monde ( Tous les utilisateurs du réseau) Réseau (utilisateurs en train daccéder à une ressource)

Principes de sécurité SAM et Active Directory Base SAM sous Windows NT : %systemroot%\system32\config\sam Renforcement par SYSKEY à partir du SP3 Active Directort sous Windows 2000 : %systemroot%\ntds\ntds.dit Mode SYSKEY inclus par défaut

Principes de sécurité Forêt, arbres et Domaines Etendue des groupes dans Windows 2000 : Locale : Accès uniquement à lordinateur local Globale : Accès à tout le domaine Universelle : Accès à toutes la forêt Relations dapprobations : Dans la forêt tous les domaines ont des relations transitives bidirectionnelles entre eux. On peut créer dautre relations unidirectionnelles entre forêts et vers des domaines NT

Principes de sécurité SID (Identifiant de Sécurité) Chaque compte est identifié par un SID unique : Exemple : S S : préfixe 1 : N° dindentification 5 : autorité démission ( valeur par défaut pour W2000) et Désignent des sous-autorités. 500 est le RID (identifiant relatif). : 500 : Administrateur 501 : Invité A partir de 1000 : Utilisateurs

Principes de sécurité Authentification et Autorisation Connexion par la console : Lutilisateur tape son login et son mot de passe Les informations sont transmises aux composants responsables de lauthentification ( Winlogon et LASASS) en mode utilisateur. Winlogin crée un jeton daccès Ce jeton est joint à la session de lutilisateur et sera présenté à chaque accès à une ressource. Le jeton daccès contient une liste de tous les SID associés à la session et au compte utilisateur.

Principes de sécurité Authentification et Autorisation Le jeton daccès contient une liste de tous les SID associés à la session et au compte utilisateur. Pour accéder à une ressource le moniteur de référence de sécurité (SRM) compare le jeton à la DACL de lobjet (Discretionary Access Control List).

Principes de sécurité Authentification et Autorisation Authentification Réseau : NT/2000 utilise le principe de stimulation réponse. Protocoles disponibles : LANMan (LM) : Tous clients NTLM : Client NTSP3, W2000, W9X avec DSclient NTLMV2 : NTSP4, W2000 Kerberos : Windows 2000 Uniquement

Principes de sécurité Résumé Tous les accès sont authentifiés. Un jeton daccès est généré pour chaque compte ayant réussi à sauthentifier. Le SRM (qui fonctionne en mode noyau) utilise ce Jeton pour autoriser ou non les accès aux ressources

Principes de sécurité Les cibles à protéger Le compte administrateur local Le groupe Administrateurs Le groupe Tout le monde et lidentité INTERACTIF Les contrôleurs de domaine