Funzione InitializeSecurityContextW (sspi.h)

Articolo
11/20/2024

La funzione di InitializeSecurityContext (Generale) avvia il lato client contesto di sicurezza in uscita da un handle di credenziali. La funzione viene usata per creare un contesto di sicurezza tra l'applicazione client e un peer remoto. InitializeSecurityContext (Generale) restituisce un token che il client deve passare al peer remoto, che il peer invia a sua volta all'implementazione della sicurezza locale tramite la AcceptSecurityContext (Generale) chiamata. Il token generato deve essere considerato opaco da tutti i chiamanti.

In genere, la funzione InitializeSecurityContext (Generale) viene chiamata in un ciclo fino a quando non viene stabilito un contesto di sicurezza sufficiente.

Per informazioni sull'uso di questa funzione con un provider di supporto della sicurezza specifico (SSP), vedere gli argomenti seguenti.

Argomento	Descrizione
InitializeSecurityContext (CredSSP)	Avvia il contesto di sicurezza in uscita sul lato client da un handle di credenziali usando il provider di supporto per la sicurezza delle credenziali (CredSSP).
InitializeSecurityContext (Digest)	Avvia il contesto di sicurezza in uscita sul lato client da un handle di credenziali usando il pacchetto di sicurezza Digest.
InitializeSecurityContext (Kerberos)	Avvia il contesto di sicurezza in uscita sul lato client da un handle di credenziali usando il pacchetto di sicurezza Kerberos.
InitializeSecurityContext (Negotiate)	Avvia il contesto di sicurezza in uscita sul lato client da un handle di credenziali usando il pacchetto di sicurezza Negotiate.
InitializeSecurityContext (NTLM)	Avvia il contesto di sicurezza in uscita sul lato client da un handle di credenziali usando il pacchetto di sicurezza NTLM.
InitializeSecurityContext (Schannel)	Avvia il contesto di sicurezza in uscita sul lato client da un handle di credenziali usando il pacchetto di sicurezza Schannel.

Sintassi

KSECDDDECLSPEC SECURITY_STATUS SEC_ENTRY InitializeSecurityContextW(
  [in, optional]      PCredHandle      phCredential,
  [in, optional]      PCtxtHandle      phContext,
  [in, optional]      PSECURITY_STRING pTargetName,
  [in]                unsigned long    fContextReq,
  [in]                unsigned long    Reserved1,
  [in]                unsigned long    TargetDataRep,
  [in, optional]      PSecBufferDesc   pInput,
  [in]                unsigned long    Reserved2,
  [in, out, optional] PCtxtHandle      phNewContext,
  [in, out, optional] PSecBufferDesc   pOutput,
  [out]               unsigned long    *pfContextAttr,
  [out, optional]     PTimeStamp       ptsExpiry
);

Parametri

[in, optional] phCredential

Handle per le credenziali restituite da AcquireCredentialsHandle (Generale). Questo handle viene usato per compilare il contesto di sicurezza . La funzione InitializeSecurityContext (Generale) richiede almeno le credenziali IN USCITA.

[in, optional] phContext

Puntatore a una struttura CtxtHandle. Nella prima chiamata a InitializeSecurityContext (Generale), questo puntatore è NULL. Nella seconda chiamata, questo parametro è un puntatore all'handle al contesto parzialmente formato restituito nel phNewContext parametro dalla prima chiamata.

Questo parametro è facoltativo con il provider di servizi condivisi del digest Microsoft e può essere impostato su NULL.

Quando si usa il provider di servizi condivisi Schannel, nella prima chiamata a InitializeSecurityContext (Generale)specificare NULL. Nelle chiamate future specificare il token ricevuto nel parametro phNewContext dopo la prima chiamata a questa funzione.

[in, optional] pTargetName

Puntatore a una stringa con terminazione Null che indica la destinazione del contesto. Il contenuto della stringa è pacchetto di sicurezza specifico, come descritto nella tabella seguente. Questo elenco non è esaustivo. È possibile aggiungere provider di servizi di sicurezza di sistema aggiuntivi e provider di servizi di sicurezza di terze parti a un sistema.

Provider di servizi condivisi in uso	Significato
digest	Stringa con terminazione Null che identifica in modo univoco l'URI della risorsa richiesta. La stringa deve essere composta da caratteri consentiti in un URI e deve essere rappresentata dal set di codice ASCII degli Stati Uniti. La codifica percentuale può essere usata per rappresentare caratteri esterni al set di codice ASCII degli Stati Uniti.
Kerberos o Negotiate	nome dell'entità servizio (SPN) o il contesto di sicurezza del server di destinazione.
NTLM	nome dell'entità servizio (SPN) o il contesto di sicurezza del server di destinazione.
Schannel/SSL	Stringa con terminazione Null che identifica in modo univoco il server di destinazione. Schannel usa questo valore per verificare il certificato del server. Schannel usa anche questo valore per individuare la sessione nella cache della sessione durante la riattivazione di una connessione. La sessione memorizzata nella cache viene usata solo se vengono soddisfatte tutte le condizioni seguenti: Il nome della destinazione è lo stesso. La voce della cache non è scaduta. Il processo dell'applicazione che chiama la funzione è lo stesso. La sessione di accesso è la stessa. L'handle delle credenziali è lo stesso.

[in] fContextReq

Flag di bit che indicano le richieste per il contesto. Non tutti i pacchetti possono supportare tutti i requisiti. I flag usati per questo parametro sono preceduti da ISC_REQ_, ad esempio ISC_REQ_DELEGATE. Questo parametro può essere uno o più dei flag di attributi seguenti.

Valore	Significato
ISC_REQ_ALLOCATE_MEMORY	Il pacchetto di sicurezza alloca i buffer di output. Al termine dell'uso dei buffer di output, liberarli chiamando la funzione FreeContextBuffer .
ISC_REQ_CONFIDENTIALITY	Crittografare i messaggi usando la funzione EncryptMessage .
ISC_REQ_CONNECTION	Il contesto di sicurezza non gestirà i messaggi di formattazione. Questo valore è l'impostazione predefinita per i pacchetti di sicurezza Kerberos, Negotiate e NTLM.
ISC_REQ_DELEGATE	Il server può usare il contesto per eseguire l'autenticazione ad altri server come client. Per il funzionamento di questo flag, è necessario impostare il flag ISC_REQ_MUTUAL_AUTH. Valido per Kerberos. Ignorare questo flag per delega vincolata.
ISC_REQ_EXTENDED_ERROR	Quando si verificano errori, l'entità remota riceverà una notifica.
ISC_REQ_HTTP	Usare digest per HTTP. Omettere questo flag per usare Digest come meccanismo SASL.
ISC_REQ_INTEGRITY	Firmare i messaggi e verificare le firme usando le funzioni EncryptMessage e MakeSignature.
ISC_REQ_MANUAL_CRED_VALIDATION	Schannel non deve autenticare automaticamente il server.
ISC_REQ_MUTUAL_AUTH	I criteri di autenticazione reciproca del servizio verranno soddisfatti. Attenzione Questo non significa necessariamente che venga eseguita l'autenticazione reciproca, ma solo che i criteri di autenticazione del servizio siano soddisfatti. Per assicurarsi che venga eseguita l'autenticazione reciproca, chiamare la funzione queryContextAttributes (Generale).
ISC_REQ_NO_INTEGRITY	Se questo flag è impostato, il flag ISC_REQ_INTEGRITY viene ignorato. Questo valore è supportato solo dai pacchetti di sicurezza Negotiate e Kerberos .
ISC_REQ_REPLAY_DETECT	Rilevare i messaggi riprodotti codificati usando le funzioni EncryptMessage o MakeSignature.
ISC_REQ_SEQUENCE_DETECT	Rilevare i messaggi ricevuti fuori sequenza.
ISC_REQ_STREAM	Supportare una connessione orientata al flusso.
ISC_REQ_USE_SESSION_KEY	È necessario negoziare una nuova chiave di sessione . Questo valore è supportato solo dal pacchetto di sicurezza Kerberos .
ISC_REQ_USE_SUPPLIED_CREDS	Schannel non deve tentare di fornire automaticamente le credenziali per il client.

Gli attributi richiesti potrebbero non essere supportati dal client. Per altre informazioni, vedere il parametro pfContextAttr.

Per altre descrizioni dei vari attributi, vedere requisiti di contesto .

[in] Reserved1

Questo parametro è riservato e deve essere impostato su zero.

[in] TargetDataRep

Rappresentazione dei dati, ad esempio l'ordinamento dei byte, nella destinazione. Questo parametro può essere SECURITY_NATIVE_DREP o SECURITY_NETWORK_DREP.

Questo parametro non viene usato con Digest o Schannel. Impostarlo su zero.

[in, optional] pInput

Puntatore a una struttura secBufferDesc di che contiene puntatori ai buffer forniti come input per il pacchetto. A meno che il contesto client non sia stato avviato dal server, il valore di questo parametro deve essere null nella prima chiamata alla funzione. Nelle chiamate successive alla funzione o quando il contesto client è stato avviato dal server, il valore di questo parametro è un puntatore a un buffer allocato con memoria sufficiente per contenere il token restituito dal computer remoto.

[in] Reserved2

Questo parametro è riservato e deve essere impostato su zero.

[in, out, optional] phNewContext

Puntatore a una struttura CtxtHandle. Nella prima chiamata a InitializeSecurityContext (Generale), questo puntatore riceve il nuovo handle di contesto. Nella seconda chiamata phNewContext può essere uguale all'handle specificato nel parametro phContext.

Quando si usa il provider di servizi condivisi Schannel, alle chiamate dopo la prima chiamata passare l'handle restituito qui come parametro phContext e specificare NULL per phNewContext.

[in, out, optional] pOutput

Puntatore a una struttura SecBufferDesc che contiene puntatori alla struttura SecBuffer che riceve i dati di output. Se un buffer è stato digitato come SEC_READWRITE nell'input, sarà presente nell'output. Il sistema allocherà un buffer per il token di sicurezza se richiesto (tramite ISC_REQ_ALLOCATE_MEMORY) e compilerà l'indirizzo nel descrittore del buffer per il token di sicurezza.

Quando si usa il provider di servizi condivisi Microsoft Digest, questo parametro riceve la risposta di verifica che deve essere inviata al server.

Quando si usa il provider di servizi condivisi Schannel, se viene specificato il flag ISC_REQ_ALLOCATE_MEMORY, il provider di servizi condivisi Schannel allocherà la memoria per il buffer e inserisce le informazioni appropriate nel SecBufferDesc. Inoltre, il chiamante deve passare un buffer di tipo SECBUFFER_ALERT. In caso di output, se viene generato un avviso, questo buffer contiene informazioni sull'avviso e la funzione ha esito negativo.

[out] pfContextAttr

Puntatore a una variabile per ricevere un set di flag di bit che indicano gli attributi del contesto stabilito. Per una descrizione dei vari attributi, vedere requisiti di contesto .

I flag usati per questo parametro sono preceduti da ISC_RET, ad esempio ISC_RET_DELEGATE.

Per un elenco di valori validi, vedere il parametro fContextReq.

Non verificare la presenza di attributi correlati alla sicurezza fino a quando la chiamata di funzione finale non viene restituita correttamente. I flag di attributo non correlati alla sicurezza, ad esempio il flag ASC_RET_ALLOCATED_MEMORY, possono essere controllati prima della restituzione finale.

Nota Attributi di contesto specifici possono cambiare durante la negoziazione con un peer remoto.

[out, optional] ptsExpiry

Puntatore a una struttura TimeStamp che riceve l'ora di scadenza del contesto. È consigliabile che il pacchetto di sicurezza restituisca sempre questo valore nell'ora locale. Questo parametro è facoltativo e NULL deve essere passato per i client di breve durata.

Non è prevista alcuna scadenza per i contesti di sicurezza del provider di servizi condivisi del digest Microsoft o le credenziali .

Valore restituito

Se la funzione ha esito positivo, la funzione restituisce uno dei codici di esito positivo seguenti.

Codice restituito	Descrizione
SEC_I_COMPLETE_AND_CONTINUE	Il client deve chiamare CompleteAuthToken e quindi passare l'output al server. Il client attende quindi un token restituito e lo passa, in un'altra chiamata, per InitializeSecurityContext (Generale).
SEC_I_COMPLETE_NEEDED	Il client deve completare la compilazione del messaggio e quindi chiamare la funzione CompleteAuthToken .
SEC_I_CONTINUE_NEEDED	Il client deve inviare il token di output al server e attendere un token restituito. Il token restituito viene quindi passato in un'altra chiamata a InitializeSecurityContext (Generale). Il token di output può essere vuoto.
SEC_I_INCOMPLETE_CREDENTIALS	Usare con Schannel. Il server ha richiesto l'autenticazione client e le credenziali fornite non includono un certificato o il certificato non è stato emesso da un'autorità di certificazione attendibile dal server. Per altre informazioni, vedere Osservazioni.
SEC_E_INCOMPLETE_MESSAGE	Usare con Schannel. I dati per l'intero messaggio non sono stati letti dalla rete. Quando viene restituito questo valore, il buffer pInput contiene una struttura SecBuffer con un BufferType membro di SECBUFFER_MISSING. Il membro cbBuffer di SecBuffer contiene un valore che indica il numero di byte aggiuntivi che la funzione deve leggere dal client prima che questa funzione abbia esito positivo. Anche se questo numero non è sempre accurato, l'uso può contribuire a migliorare le prestazioni evitando più chiamate a questa funzione.
SEC_E_OK	La contesto di sicurezza è stata inizializzata correttamente. Non è necessario un'altra chiamata InitializeSecurityContext (Generale) . Se la funzione restituisce un token di output, ovvero se il SECBUFFER_TOKEN in pOutput è di lunghezza diversa da zero, tale token deve essere inviato al server.

Se la funzione ha esito negativo, la funzione restituisce uno dei codici di errore seguenti.

Codice restituito	Descrizione
SEC_E_INSUFFICIENT_MEMORY	Memoria insufficiente per completare l'azione richiesta.
SEC_E_INTERNAL_ERROR	Si è verificato un errore che non è stato mappato a un codice di errore SSPI.
SEC_E_INVALID_HANDLE	L'handle passato alla funzione non è valido.
SEC_E_INVALID_TOKEN	L'errore è dovuto a un token di input in formato non valido, ad esempio un token danneggiato in transito, un token di dimensioni non corrette o un token passato nel pacchetto di sicurezza errato. Il passaggio di un token al pacchetto errato può verificarsi se il client e il server non hanno negoziato il pacchetto di sicurezza appropriato.
SEC_E_LOGON_DENIED	Accesso non riuscito.
SEC_E_NO_AUTHENTICATING_AUTHORITY	Non è stato possibile contattare alcuna autorità per l'autenticazione. Il nome di dominio della parte di autenticazione potrebbe non essere corretto, il dominio potrebbe non essere raggiungibile o potrebbe verificarsi un errore di relazione di trust.
SEC_E_NO_CREDENTIALS	Nessuna credenziale è disponibile nel pacchetto di sicurezza .
SEC_E_TARGET_UNKNOWN	La destinazione non è stata riconosciuta.
SEC_E_UNSUPPORTED_FUNCTION	È stato specificato un flag di attributo di contesto non valido (ISC_REQ_DELEGATE o ISC_REQ_PROMPT_FOR_CREDS) nel parametro fContextReq .
SEC_E_WRONG_PRINCIPAL	L'entità che ha ricevuto la richiesta di autenticazione non corrisponde a quella passata nel parametro pszTargetName. Ciò indica un errore nell'autenticazione reciproca.

Osservazioni

Il chiamante è responsabile della determinazione se gli attributi di contesto finali sono sufficienti. Se, ad esempio, è stata richiesta la riservatezza, ma non è stato possibile stabilire, alcune applicazioni possono scegliere di arrestare immediatamente la connessione.

Se gli attributi del contesto di sicurezza non sono sufficienti, il client deve liberare il contesto parzialmente creato chiamando la funzione DeleteSecurityContext .

La funzione InitializeSecurityContext (Generale) viene usata da un client per inizializzare un contesto in uscita.

Per un contesto di sicurezza a due gambe, la sequenza chiamante è la seguente:

Il client chiama la funzione con phContext impostata su NULL e riempie il descrittore del buffer con il messaggio di input.
Il pacchetto di sicurezza esamina i parametri e costruisce un token opaco, inserendolo nell'elemento TOKEN nella matrice di buffer. Se il parametro fContextReq include il flag di ISC_REQ_ALLOCATE_MEMORY, il pacchetto di sicurezza alloca la memoria e restituisce il puntatore nell'elemento TOKEN.
Il client invia il token restituito nel pOutput buffer al server di destinazione. Il server passa quindi il token come argomento di input in una chiamata alla funzione AcceptSecurityContext (Generale).
AcceptSecurityContext (Generale) può restituire un token, che il server invia al client per una seconda chiamata a InitializeSecurityContext (Generale) se la prima chiamata ha restituito SEC_I_CONTINUE_NEEDED.

Per i contesti di sicurezza a più fasi, ad esempio l'autenticazione reciproca, la sequenza chiamante è la seguente:

Il client chiama la funzione come descritto in precedenza, ma il pacchetto restituisce il SEC_I_CONTINUE_NEEDED codice di operazione riuscita.
Il client invia il token di output al server e attende la risposta del server.
Dopo aver ricevuto la risposta del server, il client chiama nuovamente InitializeSecurityContext (Generale), con phContext impostato sull'handle restituito dall'ultima chiamata. Il token ricevuto dal server viene fornito nel parametro pInput.

Se il server ha risposto correttamente, il pacchetto di sicurezza restituisce SEC_E_OK e viene stabilita una sessione protetta.

Se la funzione restituisce una delle risposte di errore, la risposta del server non viene accettata e la sessione non viene stabilita.

Se la funzione restituisce SEC_I_CONTINUE_NEEDED, SEC_I_COMPLETE_NEEDED o SEC_I_COMPLETE_AND_CONTINUE, i passaggi 2 e 3 vengono ripetuti.

Per inizializzare un contesto di sicurezza , potrebbe essere necessaria più di una chiamata a questa funzione, a seconda del meccanismo di autenticazione sottostante e delle scelte specificate nel parametro fContextReq.

I fContextReq e pfContextAttributes parametri sono maschera di bit che rappresentano vari attributi di contesto. Per una descrizione dei vari attributi, vedere requisiti di contesto . Il pfContextAttributes parametro è valido per qualsiasi restituzione riuscita, ma solo in caso di esito positivo finale, è necessario esaminare i flag relativi agli aspetti di sicurezza del contesto. I valori restituiti intermedi possono essere impostati, ad esempio, il flag ISC_RET_ALLOCATED_MEMORY.

Se il flag di ISC_REQ_USE_SUPPLIED_CREDS è impostato, il pacchetto di sicurezza deve cercare un tipo di buffer SECBUFFER_PKG_PARAMS nel buffer di input pInput. Questa non è una soluzione generica, ma consente un'associazione avanzata di pacchetti di sicurezza e applicazione quando appropriato.

Se è stato specificato ISC_REQ_ALLOCATE_MEMORY, il chiamante deve liberare la memoria chiamando la funzione FreeContextBuffer.

Ad esempio, il token di input potrebbe essere la sfida di un gestore LAN. In questo caso, il token di output sarà la risposta crittografata NTLM alla richiesta.

L'azione eseguita dal client dipende dal codice restituito da questa funzione. Se il codice restituito è SEC_E_OK, non sarà previsto alcun secondo InitializeSecurityContext (Generale) e non è prevista alcuna risposta dal server. Se il codice restituito è SEC_I_CONTINUE_NEEDED, il client prevede un token in risposta dal server e lo passa in una seconda chiamata a InitializeSecurityContext (Generale). Il codice restituito SEC_I_COMPLETE_NEEDED indica che il client deve completare la compilazione del messaggio e chiamare la funzione CompleteAuthToken . Il codice SEC_I_COMPLETE_AND_CONTINUE incorpora entrambe queste azioni.

Se InitializeSecurityContext (Generale) restituisce l'esito positivo della prima chiamata (o solo), il chiamante deve infine chiamare la funzione DeleteSecurityContext sull'handle restituito, anche se la chiamata non riesce in una fase successiva dello scambio di autenticazione.

Il client può chiamare InitializeSecurityContext (Generale) di nuovo dopo il completamento. Indica al pacchetto di sicurezza che è necessario eseguire di nuovo l'autenticazione.

I chiamanti in modalità kernel presentano le differenze seguenti: il nome di destinazione è una stringa Unicode che deve essere allocata nella memoria virtuale usando VirtualAlloc; non deve essere allocata dal pool. I buffer passati e forniti in pInput e pOutput devono trovarsi nella memoria virtuale, non nel pool.

Quando si usa il provider di servizi condivisi Schannel, se la funzione restituisce SEC_I_INCOMPLETE_CREDENTIALS, verificare di aver specificato un certificato valido e attendibile nelle credenziali. Il certificato viene specificato quando si chiama la funzione AcquireCredentialsHandle (Generale). Il certificato deve essere un certificato di autenticazione client rilasciato da un'autorità di certificazione (CA) attendibile dal server. Per ottenere un elenco delle ca attendibili dal server, chiamare la funzione QueryContextAttributes (Generale) e specificare l'attributo SECPKG_ATTR_ISSUER_LIST_EX.

Quando si usa il provider di servizi condivisi Schannel, dopo che un'applicazione client riceve un certificato di autenticazione da una CA considerata attendibile dal server, l'applicazione crea una nuova credenziale chiamando la funzione AcquireCredentialsHandle (Generale) e quindi chiamando InitializeSecurityContext (Generale), specificando di nuovo le nuove credenziali nel parametro phCredential.

Nota

L'intestazione sspi.h definisce InitializeSecurityContext come alias che seleziona automaticamente la versione ANSI o Unicode di questa funzione in base alla definizione della costante del preprocessore UNICODE. La combinazione dell'utilizzo dell'alias indipendente dalla codifica con il codice non indipendente dalla codifica può causare mancate corrispondenze che generano errori di compilazione o di runtime. Per altre informazioni, vedere convenzioni di per i prototipi di funzioni.

Fabbisogno

Requisito	Valore
client minimo supportato	Windows XP [solo app desktop]
server minimo supportato	Windows Server 2003 [solo app desktop]
piattaforma di destinazione	Finestre
intestazione	sspi.h (include Security.h)
libreria	Secur32.lib
dll	Secur32.dll