su NFSv4 con sicurezza Kerberos

Naviga le tue risposte
2

Quando NFSv4 è configurato per utilizzare l'autenticazione Kerberos è obbligatorio avere un keytab installato su ogni client con il proprio principal. Per accedere ai file, un utente deve ancora essere autenticato con il suo principale.

Cosa succede se un keytab del client viene rubato? (o un utente malintenzionato ottiene i privilegi di root su un client autorizzato). L'utente malintenzionato può utilizzare una versione modificata di NFS per evitare l'autenticazione dell'utente?

Quindi voglio capire se il controllo dell'accesso utente viene eseguito dal client o dal server.

Domanda bonus: se l'autorizzazione viene eseguita dal server, perché ogni cliente ha bisogno di un keytab?

    
posta Enrico Polesel 12.12.2016 - 22:40
fonte

1 risposta

1

Non sono un maestro di NFS, ma una lettura di RFC 7530 (e alcuni archivi di discussione NFS ) mostra che NFSv4 ha callback: un server NFS può contattare un client NFS e delegare determinati responsabilità verso il cliente. I callback consentono prestazioni di rete migliorate.

La presenza di callback risponde alla tua domanda finale "perché ogni cliente ha bisogno di un keytab?" Il client ha bisogno di un keytab in modo che il server (durante una callback) possa autenticare l'identità del client. Se un keytab del client viene rubato, l'utente malintenzionato potrebbe potenzialmente imitare di essere quel client NFS e intercettare o spoofare il traffico di rete NFS.

Il controllo dell'accesso viene eseguito dal server, con le credenziali inviate dal client nella richiesta RPC.

    
risposta data 13.12.2016 - 20:50
fonte

Leggi altre domande sui tag

Se a sw malintenzionati è stato assegnato l'accesso root sul dispositivo Android, il telefono è per sempre compromesso? La politica di sicurezza del contenuto contro il clickjacking non riesce con PoC statico