Windows身份验证-Kerberos或NTLM（协商oYICO…）

Question

我在Intranet应用程序中的单个用户遇到了问题。 客户端是WPF应用程序，它与ASP.Net Web API Web服务进行通信。

客户端使用以下命令发送HTTPS GET和POST请求

HttpClientHandler handler = new HttpClientHandler()
{
  AutomaticDecompression = DecompressionMethods.Deflate | DecompressionMethods.GZip,
  UseDefaultCredentials = true,
  PreAuthenticate = true
};

在IIS上，Windows NT通过NTLM和Negotiate提供程序启用身份验证。

该系统适用于除获得401.1的用户之外的所有用户，但仅来自POST请求。

我目前正在尝试弄清楚该用户的不同之处。 我唯一注意到的是另一种授权标头。

从这里 （和许多其他资源）我读到：

如果标头以“ T”开头 （例如：HTTP：Authorization = Negotiate TlRMTVNTU ...），则说明您正在使用NTLM。 如果以“ Y”开头 （例如：授权：协商YIILjgYGKwYB ...），则说明您已成功使用Kerberos。

我可以看到似乎使用Kerberos的工作请求的标头：

Authorization: Negotiate YIIT4QYGKwYBBQUCoIIT1TCC...

从用户发送的标题失败，该标题类似于

Authorization: Negotiate oYICOTCCAjWgAwoBAaKCAhg...

它以o开头。 那么，这是NTLM还是Kerberos？ 身份验证对于POST请求失败，但在GET上成功！

Answer 1

鉴于存在“协商”，这两个请求似乎都是尝试使用Spnego协商机制。 尽管Spnego通常与Kerberos结合使用，但是不要混淆两者。

授权：协商...

...是Spnego NegTokenResp（Microsoft文档中的NegTokenTarg）。

它可能包含Kerberos令牌，NTLM或Spnego协议（或所使用的特定Spnego实现）支持的任何其他可协商子机制。 因此，这可能是Kerberos，NTLM或其他。

“ oY”解码为十六进制字节“ a1”，“ oQ”解码为“ oZ”，所以任何这些都可以指示NegTokenResp。

授权：协商YI ....

...是Kerberos令牌（可能具有Kerberos或Spnego OID）。

它可以“直接”发送，也可以包装在Spnego令牌中（例如，上面的NegTokenResp）。

Answer 2

您为什么不使用Wireshark？

Wireshark将检查所有流量。 我将把票证从ASN.1分解为可显示的树结构。 您将看到在您的案例中使用了什么机制。 此外，您还将看到所有Kerberos流量，例如TGS-REQ 。