È necessario un pacchetto di sottoautenticazione LSA MSV1_0 per alcuni casi d'uso di rappresentazione?

Question

Saluti,

Sto lavorando con un fornitore che ha implementato del codice che utilizza un pacchetto di sottoautenticazione MSV1_0 di Windows LSA (informazioni MSDN se sei interessato: http://msdn.microsoft.com/en-us/library/aa374786 (VS.85) .aspx ) e I sto cercando di capire se è necessario.

Per quanto ne so, la routine di sottoautenticazione e il filtro consentono di collegare o personalizzare l'elaborazione degli eventi di accesso LSA MSV1_0 standard. Il problema è che non capisco perché il prodotto del fornitore abbia bisogno di queste funzionalità.

Ho chiesto loro e hanno detto che lo usano per eseguire la rappresentazione. Il prodotto deve sicuramente impersonare, ma in base alla mia conoscenza limitata di win32, potrebbero ottenere le funzionalità di cui hanno bisogno usando le normali API di autenticazione (LsaLogonUser, ImpersonateLoggedOnUser, ecc.) Senza il pacchetto di sottoautenticazione. Inoltre, ho lavorato con un numero di prodotti simili che fanno tutti imitazioni, e questo è l'unico che ha usato un pacchetto di sottoautenticazione.

Se ti stai chiedendo perché me ne importa, una versione precedente del prodotto aveva un bug nel dll del pacchetto di sottoautenticazione che avrebbe causato blocchi o schermate blu. Questo mi rende piuttosto nervoso e mi fa mettere in dubbio l'uso di un'interfaccia così bassa, sensibile al kernel. Vorrei tornare dal fornitore e dire " Non c'è modo di bisogno di un pacchetto subauth LSA per la rappresentazione - tiralo fuori " ;, ma non sono sicuro di capire i casi d'uso e possibili limitazioni delle API standard di autenticazione / rappresentazione win32 abbastanza bene da presentare definitivamente tale affermazione.

Quindi, per i guru della sicurezza di win32 là fuori, c'è qualche motivo per cui ti serve un pacchetto di sottoautenticazione LSA MSV1_0 se tutto ciò che stavi facendo è la rappresentazione?

Grazie in anticipo per eventuali pensieri!

Answer 1

Non credo che i pacchetti siano solo per la rappresentazione. Nel link che hai fornito, non vi è nulla correlato alla "rappresentazione"

Penso che potresti avere un pacchetto di sottoautenticazione per verificare l'utente, a livello esteso, come controllare l'impronta digitale o chiedere all'utente maggiori dettagli come DOB, domande di sicurezza ecc.

Il pacchetto, credo, non è il servizio in modalità kernel, quindi non si tratta di BSOD.