ldap_sasl_bind_s(GSSAPI) - 凭证BERVAL结构体应该提供什么？

Question

ldap_sasl_bind_s(GSSAPI) - 凭证BERVAL结构体应该提供什么？

ldapsaslgssapi

12

我正在尝试使用Microsoft LDAP C SDK中的ldap_sasl_bind_s方法，使用GSSAPI作为身份验证机制。ldap_sasl_bind_s希望将凭据作为BERVAL结构传递，该结构是不透明的。

给定用户名（或DN）和密码，我如何获得应传递给ldap_sasl_bind_s的BERVAL结构？

迄今为止，我找到的示例

来自其他LDAP C SDK而不是来自Microsoft的SDK
在需要简单身份验证时使用ldap_sasl_bind_s，但我需要使用GSSAPI
在需要其他SASL身份验证机制时使用ldap_sasl_interactive_bind_s。但是，Microsoft SDK中没有ldap_sasl_interactive_bind_s。

顺便说一句，目标是能够通过SASL绑定到各种LDAP服务器；现在是ActiveDirectory和OpenLDAP。

任何指针将不胜感激。

- Catalina Iacob

3个回答

2

我找到了问题。

根据这个帖子（https://groups.google.com/group/microsoft.public.active.directory.interfaces/browse_thread/thread/9c13fe85e520f0b4/820a136e032946e9?pli=1），在Windows XP中，ldap_sasl_bind_s存在一个bug，会返回空的服务器凭证。我已经在Windows 2008 Server下测试了我的应用程序，凭证正常返回。

- Juan Alvarez

刚刚遇到了同样的 bug，花了一整天时间来解决它。感谢分享，Juan！ - kostix

0

来自Sun和MSDN的文章。如果您尝试创建一个示例程序，可能会得到答案。

另一个

伪代码

struct berval   cred;
char mechanism[BUFSIZ];
getline( mechanism, sizeof(mechanism), stdin, "mechanism? " );
getline( passwd, sizeof(passwd), stdin,"credentials? " );
cred.bv_val = passwd;
cred.bv_len = strlen( passwd );
rc = ldap_sasl_bind_s( ld, dn, mechanism, &cred, NULL, NULL, NULL );

- pankajt

网页内容由stack overflow 提供, 点击上面的

可以查看英文原文，
原文链接

- Catalina Iacob · Accepted Answer

我成功地使用ldap_sasl_bind_s执行了一个基于GSSAPI的LDAP SASL绑定。对于那些感兴趣的人，这里有一些指针。

关于客户端和服务器在GSSAPI SASL身份验证期间需要执行的操作的抽象描述，应该阅读“Kerberos V5（“GSSAPI”）简单身份验证和安全层（SASL）机制” RFC；具体来说，“身份验证协议交换的客户端部分” 部分很重要，因为它给出了我们需要执行的行动序列，以成功地绑定到使用Kerberos的LDAP服务器。

ldap_sasl_bind_s所期望的凭据的形式和意义取决于实际使用的认证机制，而在我们的情况下是Kerberos。

在Microsoft SDK中，Kerberos通过SSPI可用，这大致上是GSSAPI的Microsoft实现；与我们特定情况相关的方法是：AcquireCredentialsHandle，InitializeSecurityContext，DecryptMessage，EncryptMessage

基于Kerberos的LDAP SASL绑定有3个阶段。

第一阶段

调用AcquireCredentialsHandle和InitializeSecurityContext。
这里有一些重要的注意事项：

将指向包含实际凭据（域名、用户名、密码）的SEC_WINNT_AUTH_IDENTITY结构体的指针传递给AcquireCredentialsHandle，或者如果要使用当前线程的凭据，则传递NULL
目标名称应该是映射到LDAP服务器运行帐户的SPN
在调用InitializeSecurityContext时，必须请求相互身份验证。

如果所有重要的参数都是正确的 - 有效的凭证、有效的SPN和NULL输入令牌，InitializeSecurityContext调用应该返回SEC_I_CONTINUE_NEEDED并正确填充输出令牌。此输出令牌的内容应在BERVAL结构中，ldap_sasl_bind_s将其作为客户端凭据使用。

使用InitializeSecurityContext的输出令牌作为客户端凭据调用ldap_sasl_bind_s。如果所有参数都正确 - 空DN、GSSAPI作为机制名称 - 实际调用应返回LDAP_SUCCESS，且LDAP会话的最新LDAP错误应为LDAP_SASL_BIND_IN_PROGRESS。

另外需要注意的是，可以通过在会话上调用ldap_get_option并将LDAP_OPT_ERROR_NUMBER作为选项来发现最近的LDAP错误。

第二阶段：成功调用ldap_sasl_bind_s后，它的最后一个参数指向一个包含服务器凭据的BERVAL结构。现在应该使用此BERVAL结构的内容作为第二次调用InitializeSecurityContext的输入令牌。

第二次调用InitializeSecurityContext应返回SEC_OK和一个空输出令牌。

应将此空输出令牌用作另一个调用ldap_sasl_bind_s的客户端凭据。第二次调用ldap_sasl_bind_s应返回LDAP_SUCCESS，且LDAP会话的最新LDAP错误为LDAP_SASL_BIND_IN_PROGRESS。

第三阶段：

在第二次成功调用ldap_sasl_bind_s后，它的最后一个参数指向一个包含服务器数据的BERVAL结构体。这些服务器数据应该被作为输入提供给DecryptMessage。正如之前提到的RFC中所规定的那样，解密后的数据必须是4个字节长。

客户端应该根据同一RFC中的信息构建其回复。
注意：在我的情况中，我省略了RFC中提到的授权ID。据我理解，空授权ID会导致使用认证ID进行授权。

然后客户端应该将其构建的回复作为输入传递给EncryptMessage。EncryptMessage调用的输出应该作为客户端凭据传递给第三次也是最后一次调用ldap_sasl_bind_s。

注意：在Kerberos下使用EncryptMessage的MSDN文档似乎不完整。Google的Code Search可以协助查找工作示例。此外，可查阅Samba源代码以获得上述流程的工作示例。