프로토콜을 위한 사용자 맵핑 정보 익스텐션 document_id A220623062809

인증서란 엔터티 및 엔터티의 공개 키에 관한 정보를 포함하는 디지털 서명된 스테이트먼트이다. 핸드셰이크(handshake)란 서로간에 식별 및 인증을 하는데 사용되는, 두 엔터티(예를 들면, 사용자와 컴퓨터, 컴퓨터와 다른 컴퓨터, 또는 프로그램과 다른 프로그램) 간의 대화이다. 핸드셰이크에 준거하여, 사용자 계정 또는 보안 주체(secure principal)에게 인증서를 맵핑하는 것은, 인증서가 사용자의 ID(identity) 또는 영역(realm)을 식별하는 데 충분한 정보를 제공하지 않는 경우에 종종 실패한다. 인증서 및 핸드셰이크를 사용하는 서비스의 예는 보안 채널(Secure Channel)이다. S채널로도 공지된, 보안 채널이란, SSL / TLS (secure sockets layer / transport layer security) 프로토콜을 구현하는 보안 서비스 제공자 인터페이스(SSPI: security service provider interface)하의 보안 지원 제공자(SSP: security support provider)의 이름이다. SSPI는 수많은 보안 프로토콜 구현예를 포함한다. S채널 SSP는 SSPI하에서 플러그 인한다. 또한, 커버로스(Kerberos) SSP도 SSPI하에서 플러그 인한다. S채널은 주로 SSL 또는 TLS 등을 통한 HTTP(Hypertext Transfer Protocol) 통신을 위한 개선된 보안을 요구하는 인터넷 애플리케이션에 사용된다. 예를 들면, TLS 또는 SSL과 같은, S채널 프로토콜은 서버 및 선택적으로는 클라이언트를 인증할 자격증명서를 요구한다. 서버가 자신의 ID의 증명을 클라이언트에게 제공하는 서버 인증은 S채널 보안 프로토콜에 의해 요구된다. 클라이언트 인증은 언제든지 서버에 의해 요청될 수 있다. S채널 자격증명서는 X.509 인증서일 수 있다. 인증서로부터의 공개 및 비밀 키 정보가 서버 및 선택적으로는 클라이언트를 인증하는데 사용된다. 이들 키는 또한 클라이언트 및 서버가 세션 키를 생성 및 교환하는 데 요구되는 정보를 교환하는 동안에 메시지 무결성을 제공하기 위해 사용된다. S채널은 서버에 사용자 인증을 확립하는 데 사용되는 클라이언트/서버 프로토콜, 그리고 SSL 및 TLS를 구현하는 모듈이다. 이 인증은 클라이언트 가장(impersonation)을 위한 토큰이 서버에 의해 사용될 수 있게 한다. S채널은 사용자를 인증하는데 인증서를 사용한다(인증서를 사용자 계정에 매핑함). 일단 사용자(클라이언트)가 서버에게 자신을 확인시키면, 서버는 (사용자의 계정에 대한) 권한을 찾아내야한다. 이는 통상적으로 X.509 인증서에서의 사용자 주체 이름(UPN: user principal name) 익스텐션의 사용을 통해 달성된다. 그러나, UPN이 없거나 UPN이 (크로스 포레스트(cross forest) 시나리오에서) 사용자의 영역을 식별하는데 충분한 정보를 제공하지 않는 경우에는, 인증서를 사용자 계정(예를 들면, 액티브 디렉토리(Active Directory) 사용자 계정)에 맵핑하는 것은 실패할 것이다. S4U를 사용하는 커버로스에 의해 인증서를 사용자 계정에 맵핑하는 것에도 유사한 문제점이 존재한다.