Proses pengesahan NTLM hanya melibatkan klien dan pelayan IIS7. Walau bagaimanapun, di bawah protokol Kerberos berasaskan tiket, pihak ketiga yang dipercayai turut mengetahui proses pengesahan ini. Perbezaan mani antara kedua-duanya diserlahkan lagi oleh perbezaan lain yang jelas dalam analisis perbandingan.
NTLM lwn Kerberos
Perbezaan antara NTLM dan Kerberos ialah yang pertama ialah protokol pengesahan berasaskan respons cabaran, manakala yang kedua ialah protokol pengesahan berasaskan tiket. NTLM merujuk kepada protokol pengesahan yang digunakan oleh model Windows lama yang bukan ahli domain Active Directory, manakala Kerberos pada asasnya ialah protokol pengesahan berasaskan tiket yang digunakan dalam model Windows baharu yang merupakan ahli domain Active Directory.
Jadual Perbandingan Antara NTLM dan Kerberos
| Parameter Perbandingan | NTLM | Kerberos |
| Definisi | NTLM ialah protokol pengesahan Microsoft yang digunakan dalam model Windows lama yang bukan ahli domain Active Directory. | Kerberos ialah protokol pengesahan berasaskan tiket yang digunakan dalam model Windows terkini. Komputer ini sudah pun menjadi ahli domain Active Directory. |
| Proses Pengesahan | Di bawah NTLM, protokol pengesahan hanya melibatkan klien dan pelayan IIS7. | Protokol pengesahan Kerberos melibatkan pelanggan, pelayan serta rakan kongsi tiket pihak ketiga yang dipercayai. Pihak ketiga biasanya merupakan pengawal domain Active Directory. |
| Keselamatan | NTLM kurang selamat daripada protokol Kerberos. | Protokol pengesahan Kerberos menawarkan perlindungan yang dipertingkatkan kepada pengguna. Ia jauh lebih selamat daripada protokol NTLM. |
| Pengesahan Bersama | Ciri pengesahan bersama tiada dalam NTLM. | Ciri pengesahan bersama disertakan dalam Kerberos. |
| Delegasi dan Penyamaran | Delegasi tidak disokong oleh NTLM. Protokol NTML menyokong penyamaran semata-mata. | Perwakilan dan penyamaran disokong oleh Kerberos. |
| Log Masuk Kad Pintar | Log masuk dua faktor dengan penggunaan kad pintar tidak dibenarkan oleh protokol NTLM. | Prosedur log masuk dua faktor dengan menggunakan kad pintar dibenarkan oleh protokol Kerberos. |
| Keserasian | NTLM serasi dengan model Windows yang lebih lama, seperti Windows 95, Windows 98, NT 4.0, dsb. | Kerberos serasi dengan semua model Windows terkini seperti Microsoft Windows 2000, XP dan lain-lain. |
Apakah NTLM?
Protokol NTLM ialah protokol pengesahan Windows proprietari yang menggunakan sistem respons cabaran untuk mengesahkan log masuk. Sistem NTLM adalah lazim dalam komputer Windows lama yang bukan ahli domain Active Directory.
Selepas permulaan proses pengesahan oleh pelanggan, jabat tangan tiga hala antara pelanggan dan pelayan bermula. Proses ini bermula dengan pelanggan menghantar mesej yang menyatakan nama akaunnya dan keupayaan penyulitan. Akibatnya, pelayan bertindak balas dengan nonce 64-bit. Respons ini dipanggil sebagai cabaran. Respons pelanggan terdiri daripada nilai ini dan kata laluannya sendiri.
Keselamatan yang ditawarkan oleh NTLM adalah lebih rendah daripada yang disediakan oleh versi baharu protokol pengesahan lain. Protokol pengesahan ini tidak menggunakan prosedur tiga pihak. Akibatnya, ia dianggap kurang selamat. Selain itu, log masuk kad pintar, pengesahan bersama, delegasi, dsb. tidak difasilitasi oleh protokol lama ini.
Apakah Kerberos?
Kerberos ialah protokol pengesahan Window yang serasi dengan model terkini yang dilancarkan oleh jenama tersebut. Ia ialah protokol berasaskan tiket yang digunakan oleh PC Windows yang sudah menjadi ahli domain Active Directory. USP protokol ini ialah ia boleh mengurangkan jumlah kata laluan yang diperlukan oleh pengguna untuk mengakses rangkaian kepada satu sahaja dengan berkesan.
Protokol pengesahan yang selamat, canggih dan canggih ini direka bentuk di MIT. Ia telah diterima sebagai protokol pengesahan standard untuk semua komputer- terus daripada model Windows 2000 kepada model lain yang lebih terkini. Kerberos juga termasuk beberapa spesifikasi yang menggerunkan seperti pengesahan bersama dan log masuk kad pintar.
Jaminan keselamatan protokol Kerberos tiada tandingan. Ia menggunakan pihak ketiga untuk mengesahkan log masuk. Ini memastikan keselamatan yang dipertingkatkan dan meminimumkan kerentanan data sulit. Dengan beroperasi melalui pusat data terpusat, Kerberos memastikan kestabilan dan keselamatan selanjutnya.
Perbezaan Utama Antara NTLM dan Kerberos
- Perbezaan utama antara NTLM dan Kerberos ialah NTLM ialah protokol pengesahan Microsoft berasaskan respons cabaran yang digunakan dalam model Windows lama yang bukan ahli domain Active Directory, manakala Kerberos ialah protokol pengesahan berasaskan tiket yang digunakan dalam yang lebih baharu. varian model Windows.
- Log masuk kad pintar melalui protokol pengesahan dua faktor disokong oleh Kerberos. NTLM tidak menyokong log masuk kad pintar.
- Dari segi keselamatan, Kerberos mempunyai kelebihan berbanding NTLM. NTLM secara perbandingan kurang selamat daripada Kerberos.
- Ciri pengesahan bersama tersedia dengan Kerberos. Sebaliknya, NTLM tidak menawarkan pengguna ciri pengesahan bersama ini.
- Walaupun Kerberos menyokong kedua-dua perwakilan dan penyamaran, NTLM hanya menyokong penyamaran.
- Proses pengesahan di bawah protokol NTLM melibatkan klien dan pelayan. Walau bagaimanapun, di bawah protokol Kerberos, pihak ketiga yang boleh dipercayai mengetahui proses pengesahan.
- Model Windows terdahulu menggunakan protokol NTLM. Ini termasuk versi seperti Windows 95, Windows 98, NT 4.0, dll. Protokol Kerberos diprapasang pada model yang lebih baharu seperti Microsoft Windows 2000, XP dan model terkini yang lain.
Kesimpulan
Kedua-dua protokol NTLM dan Kerberos adalah berdasarkan strategi kriptografi kunci simetri dan kedua-duanya adalah sistem pengesahan yang kukuh dan berkaitan. Kedua-duanya mungkin kelihatan sangat mirip dengan pengguna baru, namun perbezaan antara keduanya agak ketara.
NTLM ialah protokol pengesahan berasaskan respons cabaran, manakala Kerberos ialah protokol pengesahan berasaskan tiket. Yang pertama digunakan kebanyakannya dalam model Windows yang lebih lama. Walaupun Windows telah mengekalkan keserasian ke belakang dengan protokol ini, penggunaannya telah berkurangan dengan ketara selama ini.
Perubahan ini sebahagian besarnya dikaitkan dengan pembangunan protokol yang lebih selamat dan canggih seperti Kerberos. Kerberos menawarkan ciri yang dipertingkatkan serta perisai pelindung yang lebih baik untuk pengguna.
Oleh itu, dalam pilihan perbandingan antara kedua-duanya, protokol Kerberos yang lebih baharu muncul secara univokal berjaya. Ia merangkumi beberapa ciri moden yang paling diidamkan yang seseorang boleh inginkan dalam protokol pengesahan lanjutan.
Rujukan
- http://www.hjp.at/(en)/doc/rfc/rfc4559.html
