Windowsセキュリティインターナル ―PowerShellで理解するWindowsの認証、認可、監査の仕組み

15章Negotiate認証とその他のセキュリティパッケージ

前の2つの章では、Windowsでの2つの主要なネットワーク認証プロトコルであるNTLMとKerberosについて解説しました。しかし、Windowsでは認証を処理するために他にもいくつかのパッケージをサポートしています。この章では、これらのセキュリティパッケージについて簡単に解説します。

まず、アプリケーションとセキュリティパッケージがSSPI APIを用いてデータを連携するために、どのようにバッファーを用いるかについて詳しく説明します。これは、パッケージのいくつかの癖を理解するのに役立つでしょう。次に、Negotiateセキュリティパッケージと、あまり一般的ではないパッケージであるSecure ChannelとCredSSPについて触れます。最後に、ネットワーク認証コンテキストを設定する際の追加設定オブションの概要を取り上げ、Lowboxトークンが設定されているプロセス内でネットワーク認証を用いる場合についての解説で締めます。

15.1　セキュリティバッファー

これまで、SSPI APIの使用方法が簡単であると解説しました。クライアント認証トークンを生成し、それをサーバーアプリケーションに渡し、サーバー認証コンテキストを更新し、応答としてトークンを受け取るという処理を認証が完了するまで繰り返します。しかし、サポートされているネットワーク認証プロトコルは複雑なので、これらのAPIは認証トークン以外のものも受け取って返せるように実装されています。

認証コンテキスト、暗号化、署名に用いる各APIは、セキュリティバッファー（Security Buffer）と呼ばれる一般的な構造体の配列をパラメーターとして受け入れます。セキュリティバッファー構造体はネイティブSDKでは ...