Como exatamente funciona a autenticação “silenciosa” usando contas locais correspondentes em uma rede Windows?

Question

Imagine uma rede de grupo de trabalho do Windows em que dois computadores tenham, cada um, uma conta local com a mesma combinação de nome de usuário / senha. Se eu fizer logon em um computador e tentar se conectar a um recurso compartilhado não público por outro, não receberei credenciais - o fato de o computador remoto ter uma conta local com as mesmas credenciais que a conta local o computador que estou usando significa que estou autenticado "silenciosamente".

1. Eu entendi isso corretamente, certo?
2. Em caso afirmativo, por que não posso encontrá-lo documentado em algum lugar? Eu fiz extenso pesquisando. O recurso tem um nome? Alguém pode me indicar alguma documentação oficial?

Obrigado antecipadamente.

    

Answer 1

Ele é chamado de autenticação NTLM de passagem e está documentado no artigo do NTLM TechNet . Veja a seção intitulada Pass-through authentication na parte inferior.

O serviço NetLogon implementa a autenticação de passagem. Ele executa as seguintes funções:

• Seleciona o domínio para passar a solicitação de autenticação.

• Seleciona o servidor no domínio.

• Passa a solicitação de autenticação para o servidor selecionado.

A seleção do domínio é direta. O nome do domínio é passado para o LsaLogonUser. O nome de domínio é processado da seguinte forma:

• Se o nome do domínio corresponder ao nome do banco de dados SAM, a autenticação será processada nesse computador. Em uma estação de trabalho Windows que seja membro de um domínio, o nome do banco de dados SAM é considerado o nome do computador. Em um controlador de domínio do Active Directory, o nome do banco de dados da conta é o nome do domínio. Em um computador que não é membro de um domínio, todos os logons processam solicitações localmente.

• Se o nome de domínio especificado for confiável para esse domínio, a solicitação de autenticação será passada para o domínio confiável. Nos controladores de domínio do Active Directory, a lista de domínios confiáveis está facilmente disponível. Em um membro de um domínio do Windows, a solicitação é sempre passada para o domínio principal da estação de trabalho, permitindo que o domínio principal determine se o domínio especificado é confiável.

• Se o nome de domínio especificado não for confiável para o domínio, a solicitação de autenticação será processada no computador que está sendo conectado como se o nome de domínio especificado fosse esse nome de domínio. O NetLogon não diferencia entre um domínio inexistente, um domínio não confiável e um nome de domínio digitado incorretamente.