Pergunta
Qual é a diferença entre a autenticação NTLM e LDAP?
Ambiente
Cisco Web Security Appliance (WSA), todas as versões do AsyncOS
A autenticação com o WSA pode ser dividida nas seguintes possibilidades:
| Cliente > WSA |
WSA > Servidor de autenticação |
Tipo de servidor de autenticação |
| Autenticação básica |
autenticação LDAP |
Servidor LDAP |
| Autenticação básica |
autenticação LDAP |
Servidor Ative Diretory usando LDAP |
| Autenticação básica |
autenticação Básica NTLM |
Servidor Ative Diretory (NTLM Basic) |
| autenticação NTLM |
autenticação NTLMSSP |
Servidor Ative Diretory (NTLMSSP) |
Note: O NTLMSSP é comumente conhecido como NTLM.
A diferença notável entre a autenticação Básica e a autenticação NTLM está abaixo.
Experiência do cliente
Básico
O cliente sempre será solicitado a fornecer credenciais. Depois que as credenciais forem inseridas, os navegadores normalmente oferecerão uma caixa de seleção para lembrar-se das credenciais fornecidas. Sempre que o navegador for fechado, o cliente solicitará novamente ou enviará as credenciais lembradas anteriormente novamente.
Note: O NTLM Basic utiliza a autenticação Básica do cliente e, portanto, terá as mesmas propriedades.
NTLM (SSP)
- O cliente autenticará de forma transparente usando suas credenciais de login do Windows.
- Os únicos casos em que o cliente solicitará credenciais são se as credenciais do Windows falharem primeiro (isso ocorrerá se o cliente estiver conectado localmente ao computador e não ao domínio usado para autenticação) ou se o cliente não confiar no WSA.
Security
Básico
As credenciais são enviadas de forma insegura usando texto simples. Uma simples captura de pacotes entre o cliente e o WSA revelará o nome de usuário e a senha do usuário.
NTLM (SSP)
As credenciais são enviadas com segurança através de um handshake triplo (autenticação de estilo digest). A senha NUNCA é enviada através do fio.
O processo NTLM parece ser:
- O cliente envia um pacote NTLM Negotiate. Isso informa ao WSA que o cliente pretende fazer a autenticação NTLM.
- O WSA envia uma string de desafio NTLM ao cliente.
- O cliente usa um algoritmo baseado em sua senha para modificar o desafio e envia a resposta do desafio para o WSA.
- O servidor do AD verifica então se o cliente está usando a senha correta com base em se modificou ou não a string de desafio adequadamente.
Feedback