Qu'est-ce que SASL / GSSAPI?

De nombreuses fois j'ai rencontré l'expression SASL / GSSAPI. J'ai cherché sur Google à plusieurs reprises, mais je ne comprends tout simplement pas ce que c'est et comment cela se rapporte à Kerberos.

Quelqu'un qui a une explication simple à ce sujet?

SASL et GSSAPI sont des cadres auxquels divers fournisseurs d'authentification peuvent être connectés. Les personnes souhaitant utiliser l'authentification Kerberos dans une application prenant en charge SASL ou GSSAPI n'ont qu'à fournir le plug-in Kerberos approprié, plutôt que de réécrire l'application avec du code spécifique à Kerberos.

SASL signifie Authentification simple et couche de sécurité; c'est un cadre qui permet aux développeurs d'implémenter différents mécanismes d'authentification et permet aux clients et aux serveurs de négocier un mécanisme mutuellement acceptable pour chaque connexion (plutôt que de les coder en dur ou de les préconfigurer).

GSSAPI est l' abréviation de Generic Security Services Application Program Interface; il est généralement mis à disposition comme l'un des mécanismes que SASL peut utiliser. C'est en soi un autre cadre pour développer et mettre en œuvre divers mécanismes d'authentification. Ces mécanismes incluent Kerberos, NTLM et SPNEGO (mécanisme de négociation GSSAPI simple et protégé): un pseudo-mécanisme GSSAPI qui permet aux clients compatibles GSSAPI de négocier le mécanisme GSSAPI qu'ils souhaitent utiliser.

Voici un exemple pour aider à rendre cela un peu plus clair (brutalement simplifié par souci de clarté):

1. Le client se connecte au serveur et dit: "Je prends en charge SASL! Comment dois-je m'authentifier?"
2. Le serveur reçoit la connexion et répond: «Je prends également en charge SASL et je peux utiliser ces mécanismes, par ordre de préférence décroissant: GSSAPI, CRAM-MD5, PLAIN».
3. Le client répond: "Parmi les choix, j'aimerais utiliser GSSAPI."
4. Le serveur répond "GSSAPI? Capital. Je supporte Kerberos et NTLM."
5. Le client répond "Utilisons Kerberos. Voici mon ticket crypté etc. etc."