Authentifizierung remote "weitergeben"

[Kyro]

Hallo Leute!

Ich habe mir folgendes in den Kopf gesetzt - bloss noch nicht die so richtige Lösung dafür gefunden wie ich das beweltigen soll.

Lokal (Benutzer angemeldet) sende ich an einen remoterechner laufendem NT-service eine "info" dass ein programm gestartet werden soll - bis dahin kein problem....
das problem:
Auf dem Remoterechner soll das programm unter dem user angemeldet werden, mit dem man momentan lokal angemeldet ist, aber ohne dass man lokal nochmal das passwort angeben muss!

Wie könnte man das zusammenbringen??

Ich hab mir schon diverse Sachen (ImpersonateLoggedonUser, CreateProcessasuser, impersonateself usw) angeschaut - scheint aber für mein vorhaben nicht ganz passend zu sein.

[markusj]

Du musst das Kennwort auf jeden Fall Übermitteln ... aber wie, kann ich dir nicht sagen.
Vielleicht liest du das Kennwort des aktuellen Users aus ... und kannst es so ohne weitere Abfrage übermitteln.

mfG

Markus

[Luckie]

Zitat:

Zitat von Kyro

Auf dem Remoterechner soll das programm unter dem user angemeldet werden, mit dem man momentan lokal angemeldet ist,

Mit dem lokalen Konto von dem Remoterechner oder mit dem Konto von dem Rechner, von dem man das Programm startet? Am einfachsten wäre es in einer Domain, denn dann ist der Domainserver eine trusted authority gegenüber der sich der Remoterechner authentifizieren kann. Würde natürlich bedeuten, dass dein lokales Konto auch vom Domainserver verwaltet wird (sonst wäre die Bedingung von dir nicht erfüllt, dass es das gleiche Konto sein muss).

Ansonsten, ist da etwas komplex das Thema. Wenn es wichtig ist dann würde ich mir das Buch "Programming windows Security" von Keith Brown zu legen, da erfährst du alles bezüglich Sicherheit und Authentifizierung und alles was damit zusammenhängt.

[Kyro]

Zitat:

Zitat von markusj

Vielleicht liest du das Kennwort des aktuellen Users aus ... und kannst es so ohne weitere Abfrage übermitteln.

Das wäre genial wenn das ginge (Das passwort des aktuellen benutzers auslesen) - aber ich glaube das ist nicht möglich oder doch?

@Luckie:
Das ganze soll auch in einer domäne laufen - und es soll das konto vom rechner verwendet werden von dem das programm gestartet wird, nicht vom remoterechner!

Das mit der "trusted authority"... dazu müsste man doch am DC(Domaincontroller) eingreifen? - der soll unberührt bleiben!

Werde mal ausschau halten nach diesem buch

[markusj]

Doch ... zieh dir mal Cain und Abel runter, der kann dir die lokalen Kennwörter in Sekundenbruchteilen auslesen ...

mfG

Markus

[mkinzler]

Der einzige (legale) weg an das Passwort des aktuell angemeldeten Users zu kommen, ist es sich mit einer eigenen GINA in den Logon-Vorgang einzuklinken.

[Kyro]

Nein, also legal sollte die sache schon sein, das mit der msgina find ich zu aufwändig - und würde mich ehrlich gesagt als benutzer stören wenn ich ein programm benutzen möchte dass dafür original - windows systemdateien ersetzt werden müssen, da bleib ich lieber noch bei der lösung dass der benutzer ein "popup" bekommt zur erneuten passworteingabe - oder ich erstelle einen benutzer extra für den dienst- der die selben rechte hat - naja - schade denn das mit dem passwort auslesen wär trotzdem genial ;)

[markusj]

Ähm, Cain und Abel verändern keine Systemdateien ...
Es wird lediglich die Kennwortdatei entschlüsselt/geknackt.

mfG

Markus

PS: Wenn du den Benutzer darauf hinweist, sollte da sogar legal sein ...

[Kyro]

[quote="markusj"]Ähm, Cain und Abel verändern keine Systemdateien ...[quote]
richtig! bezog sich aber auch auf das mit der msgina

Zitat:

Zitat von markusj

PS: Wenn du den Benutzer darauf hinweist, sollte da sogar legal sein ...

Hmm, stimmt, jetzt bräucht ich das ganze nur noch als "funktion" - und nicht über ein externes programm :mrgreen:

[mkinzler]

Ist das einen einmalige Sache oder soll das regelmäßig geschehen?
Im 2. fall wäre es vielleicht besser, das Passwort einmalig abzufragen und an verschlüsselt für folgende Durchläufe abzulegen.