HolyHacker

윈도우 2000의 인증 과정에서 가장 중요한 구성 요소는 다음과 같다.

- LSA ( Local Security Authority )
- SAM (Security Accounts Manager )
- SRM ( Security Reference Monitor) 

LSA 
- 모든 계정의 로그인에 대한 검증을 하고, 시스템 자원 및 파일 등에 대한 접근 권한을 검사한다.
- 로컬, 원격 모두에 해당하며, SRM 이 생성한 감사 로그를 기록하는 역활도 한다.
- NT 보안의 중심 요소이며, 보안 서브 시스템 이라고 부르기도 한다.

SAM
- 사용자/그룹 계정 정보에 대한 데이터베이스를 관리한다. 사용자의 로그인 입력 정보와 SAM 디비 정보를 비교하여
- 인증 여부를 결정하도록 해주는 것이다.
- 보통 SAM 파일은 \system32\config\sam 에 위치하며, 이 파일은 시스템을 부팅시킨 경우
- 접근 제한으로 읽을 수 없는 파일이다.
- 하지만 윈도우에서는 SAM 을 이용한 인증이 모두 같은 것이 아니며, 다음의 세 가지로 나뉘게 된다.

1. LM ( Lan Manager )
윈도우에서 가장 약한 인증 방법이다. 랜에서 파일을 공유하기 위해 사용하는 인증 방법으로
윈도우 XP 이하 버전에서 사용하며, 크래킹하는데 10초도 걸리지 않는다.

2. NTLM ver1 
LM 보다는 안전하나 취약점이 발견되어 오래 적용되지 않았다.

3. NTLM ver2
윈도우 XP와 2000의 시스템에 적용되어 있다.

NTLM 은 인증에 도전/응답 (Challenge / Response )  방식을 사용한다.
이러한 인증법을 사용하는 이유는 네트워크에 패스워드를 흘려보내지 않고 인증을 성공시키기 위해서다.
유닉스의 텔넷과 같은 경우, 기본적으로 네트워크에 패스워드를 보내는데 이는 매우 취약하기 때문이다.


SRM
- SAM 이 사용자의 계정과 패스워드가 일치하는 지를 확인하여 SRM 에게 알려주면 SRM 은 사용자에게
- 고유의 SID 를 부여한다. 또한 SRM 은 SID에 기반하여 파일이나 디렉토리에 접근 제어를 하게 되고, 이에 대한
- 감사 메시지 또한 생성한다.

SID
- SRM 이 할당해준 SID 를 윈도우 2003에서는 whoami user/SID   명령을 이용해 간단히 알아 볼 수 있었으나,
- 윈도우 2000과 XP 에서는 윈도우 리소스 킷의 getsid 란 툴을 이용해야 한다.
- 사용법은 cmd 창에 getsid 명령을 명령 프롬프트에서 실행하면 된다.
- getsid 툴은 기본적으로 설치되어 있지 않으므로 따로 구해서 사용해야 한다.