SSPI简介 windows专用GSSAPI

向右看齐 2021-08-27 01:49 517阅读 0赞

**安全支持提供者接口**（英语：Security Support Provider Interface，缩写**SSPI**）是[Microsoft Windows][][操作系统][Link 1]中用于执行各种安全相关操作（如[身份验证][Link 2]）的一个[Win32][] [API][]。

SSPI的功能是作为众多安全支持提供程序（SSP）的通用接口[\[1\]][1]：安全支持提供者（Security Support Provider）是可以为应用程序提供一种或多种安全功能包的[动态链接库][Link 3]（[dynamic-link library][]）。

### Windows SSP ###

下列SSP已经在Windows中预装：

*  [NTLM][]（[Windows NT 3.51][]中引入）(msv1\_0.dll) - 为[Windows 2000][]之前的客户端-服务器域和非域身份验证（[SMB][]/CIFS）提供[NTLM][]质询/响应身份验证。[\[2\]][2]
 *  [Kerberos][]（[Windows 2000][]中引入，[Windows Vista][]中更新为支持[AES][]）[\[3\]][3] (kerberos.dll) - Windows 2000及更高版本中首选的客户端-服务器域相互身份验证。[\[4\]][4]
 *  [Negotiate][]（Windows 2000中引入）(secur32.dll) - 选择Kerberos，如果不可用则选择NTLM协议。协商SSP提供[单点登录][Link 4]能力，有时称为[集成Windows身份验证][Windows]（尤其是用于IIS时）。[\[5\]][5]在[Windows 7][]及更高版本中，NEGOExts引入了协商使用客户端和服务器上支持的已安装定制SSP进行身份验证。
 *  安全通道（也称SChannel） - [Windows 2000][]中引入，[Windows Vista][]中更新为支持更强的AES加密和[ECC][][\[6\]][6]该提供者使用SSL/TLS记录来加密数据有效载荷。(Schannel.dll)
 *  [PCT][]（过时）和微软的[TLS/SSL][TLS_SSL] - [公开密钥加密][Link 5] SSP为通过互联网的客户端和服务器进行身份验证，提供加密和安全通信。[\[7\]][7]Windows 7中更新为支持TLS 1.2。
 *  [摘要SSP][SSP]（[Windows XP][]中引入）(wdigest.dll) - 在Windows与Kerberos不可用的非Windows系统间提供基于HTTP和[SASL][]身份验证的质询/响应。[\[8\]][8]
 *  凭据 (CredSSP)（[Windows Vista][]中引入，Windows XP SP3上也可用）(credssp.dll) - 为[远程桌面连接][Link 6]提供单点登录（SSO）和[网络级身份验证][Link 7]。[\[9\]][9]
 *  分布式密码验证（DPA） - （Windows 2000中引入）(msapsspc.dll) - 提供使用[数字证书][Link 8]完成的互联网身份验证。[\[10\]][10]
 *  用户对用户的公开密钥加密技术（Public Key Cryptography User-to-User，PKU2U）（[Windows 7][]中引入）(pku2u.dll) - 在不隶属域的系统之间提供使用数字证书的对等身份验证。

### 比较 ###

SSPI是[GSSAPI][]的一个专有变体，进行了扩展并具有许多特定于Windows的数据类型。最早随[Windows NT 3.51][]和[Windows 95][]中的[NT LAN管理器][NTLM]的[安全支持提供程序][Link 9]（NTLMSSP）出现。在Windows 2000中，增加了一个Kerberos 5的实现，使用符合官方协议标准RFC 1964 （Kerberos 5 GSSAPI机制）的令牌格式并提供提供与其他供应商的Kerberos 5实现的线级互操作性。

SSPI生成和接受的令牌大多与GSS-API兼容，因此Windows上的SSPI客户端可能能够根据具体情况与Unix上的GSS-API服务器进行身份验证。SSPI的一个重要缺点是缺乏通道绑定，这使得不可能做到一些GSSAPI的互操作性。

[互联网工程任务组][Link 10]（IETF）定义的GSSAPI与微软SSPI的另一个根本区别是“[扮演][Link 11]”概念。在这种模式下，一个服务器可以切换成经过身份验证客户端的“完整”特权并进行操作，以便操作系统执行完整的[访问控制][Link 12]检查。所持权限高于或低于原始权限全取决于哪个客户端在连接/验证。在传统（GSSAPI）模型中，当服务器运行在服务帐户下时，其不能提升自己的特权，并必须以特定客户端或应用程序的方式执行访问控制。而在Windows Vista中通过将扮演限制在选定的服务帐户，限制了“扮演”概念带来的显著安全隐患。

[Microsoft Windows]: https://zh.wikipedia.org/wiki/Microsoft_Windows
[Link 1]: https://zh.wikipedia.org/wiki/%E6%93%8D%E4%BD%9C%E7%B3%BB%E7%BB%9F
[Link 2]: https://zh.wikipedia.org/wiki/%E8%BA%AB%E4%BB%BD%E9%AA%8C%E8%AF%81
[Win32]: https://zh.wikipedia.org/wiki/Windows_API
[API]: https://zh.wikipedia.org/wiki/%E5%BA%94%E7%94%A8%E7%A8%8B%E5%BA%8F%E6%8E%A5%E5%8F%A3
[1]: https://zh.wikipedia.org/wiki/SSPI#cite_note-1
[Link 3]: https://zh.wikipedia.org/wiki/%E5%8A%A8%E6%80%81%E9%93%BE%E6%8E%A5%E5%BA%93
[dynamic-link library]: https://zh.wikipedia.org/wiki/Dynamic-Link_Library
[NTLM]: https://zh.wikipedia.org/w/index.php?title=NTLM&action=edit&redlink=1
[Windows NT 3.51]: https://zh.wikipedia.org/wiki/Windows_NT_3.51
[Windows 2000]: https://zh.wikipedia.org/wiki/Windows_2000
[SMB]: https://zh.wikipedia.org/wiki/%E4%BC%BA%E6%9C%8D%E5%99%A8%E8%A8%8A%E6%81%AF%E5%8D%80%E5%A1%8A
[2]: https://zh.wikipedia.org/wiki/SSPI#cite_note-2
[Kerberos]: https://zh.wikipedia.org/wiki/Kerberos
[Windows Vista]: https://zh.wikipedia.org/wiki/Windows_Vista
[AES]: https://zh.wikipedia.org/wiki/%E9%AB%98%E7%BA%A7%E5%8A%A0%E5%AF%86%E6%A0%87%E5%87%86
[3]: https://zh.wikipedia.org/wiki/SSPI#cite_note-3
[4]: https://zh.wikipedia.org/wiki/SSPI#cite_note-4
[Negotiate]: https://zh.wikipedia.org/w/index.php?title=Negotiate&action=edit&redlink=1
[Link 4]: https://zh.wikipedia.org/wiki/%E5%96%AE%E4%B8%80%E7%99%BB%E5%85%A5
[Windows]: https://zh.wikipedia.org/w/index.php?title=%E9%9B%86%E6%88%90Windows%E8%BA%AB%E4%BB%BD%E9%AA%8C%E8%AF%81&action=edit&redlink=1
[5]: https://zh.wikipedia.org/wiki/SSPI#cite_note-5
[Windows 7]: https://zh.wikipedia.org/wiki/Windows_7
[ECC]: https://zh.wikipedia.org/wiki/%E6%A4%AD%E5%9C%86%E6%9B%B2%E7%BA%BF%E5%AF%86%E7%A0%81%E5%AD%A6
[6]: https://zh.wikipedia.org/wiki/SSPI#cite_note-6
[PCT]: https://zh.wikipedia.org/w/index.php?title=%E7%A7%81%E5%AF%86%E9%80%9A%E4%BF%A1%E6%8A%80%E6%9C%AF&action=edit&redlink=1
[TLS_SSL]: https://zh.wikipedia.org/wiki/%E5%82%B3%E8%BC%B8%E5%B1%A4%E5%AE%89%E5%85%A8%E5%8D%94%E8%AD%B0
[Link 5]: https://zh.wikipedia.org/wiki/%E5%85%AC%E5%BC%80%E5%AF%86%E9%92%A5%E5%8A%A0%E5%AF%86
[7]: https://zh.wikipedia.org/wiki/SSPI#cite_note-7
[SSP]: https://zh.wikipedia.org/wiki/HTTP%E6%91%98%E8%A6%81%E8%AE%A4%E8%AF%81
[Windows XP]: https://zh.wikipedia.org/wiki/Windows_XP
[SASL]: https://zh.wikipedia.org/wiki/%E7%AE%80%E5%8D%95%E8%AE%A4%E8%AF%81%E4%B8%8E%E5%AE%89%E5%85%A8%E5%B1%82
[8]: https://zh.wikipedia.org/wiki/SSPI#cite_note-8
[Link 6]: https://zh.wikipedia.org/wiki/%E8%BF%9C%E7%A8%8B%E6%A1%8C%E9%9D%A2%E8%BF%9E%E6%8E%A5
[Link 7]: https://zh.wikipedia.org/wiki/%E7%BD%91%E7%BB%9C%E7%BA%A7%E8%BA%AB%E4%BB%BD%E9%AA%8C%E8%AF%81
[9]: https://zh.wikipedia.org/wiki/SSPI#cite_note-9
[Link 8]: https://zh.wikipedia.org/wiki/%E5%85%AC%E9%96%8B%E9%87%91%E9%91%B0%E8%AA%8D%E8%AD%89
[10]: https://zh.wikipedia.org/wiki/SSPI#cite_note-10
[GSSAPI]: https://zh.wikipedia.org/w/index.php?title=%E9%80%9A%E7%94%A8%E5%AE%89%E5%85%A8%E6%9C%8D%E5%8A%A1%E5%BA%94%E7%94%A8%E7%A8%8B%E5%BA%8F%E6%8E%A5%E5%8F%A3&action=edit&redlink=1
[Windows 95]: https://zh.wikipedia.org/wiki/Windows_95
[Link 9]: https://zh.wikipedia.org/w/index.php?title=%E5%AE%89%E5%85%A8%E6%94%AF%E6%8C%81%E6%8F%90%E4%BE%9B%E7%A8%8B%E5%BA%8F&action=edit&redlink=1
[Link 10]: https://zh.wikipedia.org/wiki/%E4%BA%92%E8%81%94%E7%BD%91%E5%B7%A5%E7%A8%8B%E4%BB%BB%E5%8A%A1%E7%BB%84
[Link 11]: https://zh.wikipedia.org/w/index.php?title=Access_token&action=edit&redlink=1
[Link 12]: https://zh.wikipedia.org/wiki/%E5%AD%98%E5%8F%96%E6%8E%A7%E5%88%B6