标签: authentication

曾几何时，南美洲有一个美丽温暖的虚拟丛林，那里住着一个鱿鱼服务员。这是网络的感知图像：

                 <the Internet>
                        | 
                        | 
           A            |          B
Users <---------> [squid-Server] <---> [LDAP-Server] 

当Users请求访问 Internet 时，squid询问他们的姓名和护照，通过对他们进行身份验证LDAP，如果 ldap 批准了他们，那么他就授予了他们。

每个人都很高兴，直到一些嗅探器在用户和鱿鱼 [路径 A] 之间的路径中偷走了护照。这场灾难的发生是因为鱿鱼使用了Basic-Authentication方法。

丛林中的人们聚集在一起解决问题。一些兔子提供了使用NTLM方法。蛇更喜欢，Digest-Authentication而Kerberos树木则推荐。

毕竟，丛林人和所有人提供的许多解决方案都令人困惑！狮子决定结束这种局面。他喊出解决规则：

• 解决方案是否安全！
• 该解决方案是否适用于大多数浏览器和软件（例如下载软件）
• 解决方案是否应该简单并且不需要其他庞大的子系统（如 Samba 服务器）
• 该方法不应依赖于特殊域。（例如活动目录）

然后，一只猴子提供了一个非常合理、全面、聪明的解决方案，让他成为了新的丛林之王！

你能猜出解决方案是什么吗？

提示：squid和 之间的路径LDAP由狮子保护，因此解决方案不必固定它。

注意：对不起，如果故事无聊和混乱，但大部分都是真实的！=)

               /~\/~\/~\
            /\~/~\/~\/~\/~\
          ((/~\/~\/~\/~\/~\))
        (/~\/~\/~\/~\/~\/~\/~\)
       (////     ~   ~     \\\\)
       (\\\\(   (0) (0)   )////)
       (\\\\(   __\-/__   )////)
        (\\\(     /-\     )///)
         (\\\(  (""""")  )///)
          (\\\(  \^^^/  )///)
           (\\\(       )///) …

Run Code Online (Sandbox Code Playgroud)

假设我有一个名为“remotesystem”的远程系统，该系统上有一个用户帐户“foouser”。

我知道在我的本地系统上，我可以作为本地用户“foouser”生成一个 SSH 密钥对，将公钥放在“远程系统”上的“/home/foouser/.ssh/authorized_keys”文件中。当我以“foouser”身份从本地系统 SSH 到“远程系统”时，SSH 使用密钥对来验证我的身份。

但是如果我的本地用户名与远程系统上的用户名不同怎么办？也就是说，如果我想以本地用户“baruser”的身份通过 SSH 连接到“远程系统”怎么办？显然，我需要为“baruser”生成一个密钥对并将公钥添加到“/home/foouser/.ssh/authorized_keys”。然后，我应该能够在本地以“baruser”身份登录时“ssh foouser@remotesystem”，SSH 将使用密钥对进行身份验证，对吗？

我问是因为我试图让密钥身份验证在这种情况下工作，但没有成功。我不确定是因为用户名不匹配，还是远程系统上的 SSH 服务器配置问题。

对于那些允许用户指定 OpenID 提供程序 (OP) 的依赖方 (RP)，在我看来，任何知道或猜测您的 OpenID 的人都可以

1. 输入自己的OP地址。
2. 让它验证它们是否拥有您的 OpenID。
3. 在 RP 上访问您的帐户。

RP“可以”采取措施防止这种情况发生，只允许 OpenID 由原始 OP 验证，但是......

1. 你怎么知道他们这样做？
2. 如果不更改 OpenID，您就永远无法更改 OP。

我正在考虑在我的组织中使用 Shibboleth 对 Web 应用程序进行身份验证。我对这个主题很陌生，想通读一些好的教程、实践课程或任何有助于新手了解 Shibboleth 的内容。

但到目前为止，我还没有找到任何包含每个步骤具体示例的教程。我想以某种方式进行运行设置，这样我就可以使用它...

我发现到现在：为Shibboleth的2官方文档- https://spaces.internet2.edu/display/SHIB2/Installation

如果您能给我提供有关 Shibboleth 的其他信息的任何提示，我将不胜感激。

编辑 - 更多信息：
服务提供商是 Ubuntu Server 10.04 LTS。

我有一个 Intranet 网站，而不是 Internet，每当我去

http://mysite

该网站通过 IE 接受我对计算机/客户端上登录用户的集成身份验证。

如果我去 FQDN

http://mysite.something.com

系统提示我输入用户名和密码。

它们是相同的，站点和网页。我该怎么做才能让他们都接受来自 IE/登录用户的凭据？

您是否使用过并建议使用 RSA SecurID 的替代方案进行两因素身份验证？

我有一个 Linux samba 服务器，并且明确列出了可以访问该文件夹的用户。

我已经成功地将 Samba 配置为在从 Windows 访问共享时需要用户名和密码（使用 smbpasswd 等）。

但现在我想强制清除 Windows 机器上的身份验证缓存。例如，当我去同事的计算机时，我使用我的帐户访问受保护共享中的文件，但是在离开他的计算机之前，我要确保清除授权缓存，以便他无法访问该文件夹我的凭据。

几周前我在谷歌的 Windows 命令提示符中找到了要使用的命令，但我很傻，我没有保存它......

希望有人能帮忙，谢谢！

哦，Samba 被配置为工作组而不是域（如果有帮助的话） - 所以 Windows 用户不会在启动时登录到域。

我已经设置了一个带有 Rails 包的 Ubuntu 实例，部署了我的应用程序，它运行良好。

但是，当我尝试做SSH，这不是让我对远程登录并抛出这样的错误：Host key verification failed。

问题似乎一直存在。我已将弹性 IP 附加到该实例，但无法看到公共 DNS。

我的实例在新加坡地区运行。

ssh 调试输出：

OpenSSH_5.8p1 Debian-7ubuntu1, OpenSSL 1.0.0e 6 Sep 2011
debug1: Reading configuration data /etc/ssh/ssh_config
debug1: Applying options for *
debug1: Connecting to 46.137.253.231 [46.137.253.231] port 22.
debug1: Connection established.
debug1: identity file st.pem type -1
debug1: identity file st.pem-cert type -1
debug1: Remote protocol version 2.0, remote software version OpenSSH_5.5p1 Debian-4ubuntu6
debug1: match: OpenSSH_5.5p1 Debian-4ubuntu6 pat OpenSSH*
debug1: Enabling compatibility mode for protocol 2.0 …

如何不仅通过用户名/密码而且通过客户端证书来限制 (RDP) 对 Windows Server 的访问？

想象一下，创建一个证书并将其复制到我希望能够从中访问服务器的所有计算机。

这不会像基于 IP 的规则那样受到限制，但另一方面会增加一些灵活性，因为并非每台计算机/笔记本电脑都在某个域中或固定 ip 范围。

我有一个格式如下的公钥：

---- BEGIN SSH2 PUBLIC KEY ----

Comment: "somename-20060227"
AAAAB3NzaC1yc2EAAAABJQAAAIBmhLUTJiP[and so on]==

---- END SSH2 PUBLIC KEY ----

通常我会看到这样格式的键：

ssh-rsa AAAAB3NzaC1yc2EAAAABJQAAAIEAqof[and so on]

我可以只复制authorized_keys 文件中的第一个密钥，还是必须以某种方式修改它，使其看起来像第二个？我认为第一个是由 PUTTYgen 生成的，而第二个是由 ssh-keygen 生成的。