NOTE: CentOS Enterprise Linux is built from the Red Hat Enterprise Linux source code. Other than logo and name changes CentOS Enterprise Linux is compatible with the equivalent Red Hat version. This document applies equally to both Red Hat and CentOS Enterprise Linux.
Linuxtopia - CentOS Enterprise Linux Rerenzhandbuch- Kerberos
Systemsicherheit und -Integrit�t innerhalb eines Netzwerkes kann ziemlich schwierig sein und die Zeit von mehreren Systemadministratoren in Anspruch nehmen , wenn es alleinig um das Verfolgen davon geht, welche Dienste auf dem Netzwerk ausgef�hrt werden und wie diese ausgef�hrt werden. Desweiteren kann das Authentifizieren von Benutzern f�r Netzwerkservices gewisse Gefahren bergen, wenn die Methoden hierf�r von Natur aus unsicher sind, wie am Beispiel von �bertragungen unverschl�sselter Passw�rter �ber ein Netzwerk unter FTP- oder Telnetprotokollen bewiesen. Kerberos ist eine Methode, die Notwendigkeit von Protokollen, die eine unsichere Authentifizierung erm�glichen, auszur�umen und somit die Gesamtsicherheit des Netzwerkes zu erh�hen.
19.1. Was ist Kerberos?
Kerberos ist ein von MIT erstelltes Authentifizierungsprotokoll f�r Netzwerke, welches Symmetric-Key Cryptography verwendet,[1] um Benutzer im Netzwerk zu authentifizieren — was das Versenden von Passw�rtern �ber das Netzwerk hinf�llig macht. Das Authentifizieren mit Hilfe von Kerberos h�lt effizient unautorisierte Benutzer vom Versuch ab, Passw�rter im Netzwerk abzufangen.
19.1.1. Vorteile von Kerberos
Die meisten herk�mmlichen Netzwerksysteme verwenden Passwort-basierte Authentifizierungsschemata. Wenn sich daher ein Benutzer an einem Netzwerkserver anmeldet, muss diese/r einen Benutzernamen und Passwort f�r jeden Dienst angeben, der Authentifizierung erfordert. Ungl�cklicherweise erfolgt die �bertragung von Authentifizierungsinformationen bei vielen Diensten unverschl�sselt. Damit ein solches Schemata sicher ist, muss das Netzwerk vor Zugriff von Au�enstehenden gesch�tzt werden und allen Computern und Benutzern auf dem Netzwerk muss vertraut werden k�nnen und m�ssen vertrauensw�rdig sein.
Auch wenn dies der Fall sein sollte, ist das Netzwerk erst einmal mit dem Internet verbunden, kann dessen Sicherheit nicht l�nger angenommen werden. Jeder Hacker, der Zugriff auf das Netzwerk und einen Paket-Analysierer (Packet Sniffer) hat, kann auf diese Weise versendete Passw�rter knacken, was Benutzeraccounts und die Integrit�t der gesamten Sicherheitsinfrastruktur kompromittiert.
Prim�res Ziel von Kerberos ist es, die �bertragung der Authentifizierungsinformationen �ber das Netzwerk zu beseitigen. Die richtige Verwendung von Kerberos vermindert sp�rbar die Gefahr, die Packet-Sniffer andernfalls f�r das Netzwerk bedeuten.
19.1.2. Nachteile von Kerberos
Dank Kerberos wird eine Bedrohung, die ganz allgemein f�r die Sicherheit im Netzwerk besteht, ausgeschaltet. Allerdings kann sich die Implementierung aus folgenden Gr�nden schwierig gestalten:
Das Migrieren von Benutzerpassw�rtern von einer standardm��igen UNIX-Passwortdatenbank wie zum Beispiel /etc/passwd oder /etc/shadow in eine Kerberos-Passwortdatenbank kann langwierig sein, da es zum Durchf�hren dieser Aufgabe keine automatisierten Mechanismen gibt. Detailliertere Informationen finden Sie unter Frage 2.23 in den Kerberos online-FAQ unter:
Kerberos ist nur teilweise mit dem Pluggable Authentication Modules-System (PAM-System) kompatibel, das die meisten Red Hat Enterprise Linux-Server verwenden. Weitere Informationen hierzu finden Sie unter Abschnitt 19.4.
Kerberos nimmt an, dass jeder vertrauensw�rdige Benutzer vertrauensunw�rdige Hosts auf einem vertrauensunw�rdigen Netzwerk verwendet. Seine wichtigste Aufgabe ist es, zu vermeiden, dass Passw�rter unverschl�sselt �ber das Netzwerk versandt werden. Wenn jedoch noch jemand anderes als der richtige Benutzer Zugriff auf den Host hat, welcher die Tickets zur Authentifizierung ausstellt — auch Key Distribution Center (KDC) genannt — besteht die Gefahr, dass das gesamte Kerberos-Authentifizierungssystem kompromittiert wird.
Damit eine Applikation Kerberos verwenden kann, m�ssen ihre Quellen so modifiziert werden, dass die geeigneten Aufrufe an die Kerberos-Bibliotheken gesendet werden k�nnen. Applikationen, die auf diese Art ge�ndert wurden, werden als kerberisiert bezeichnet. Bei einigen Applikationen kann dies aufgrund ihrer Gr��e oder ihrem Design recht problematisch sein. F�r andere Applikationen wiederum muss die Art und Weise ge�ndert werden, in der Server und Clients miteinander kommunizieren. Auch dies kann unter Umst�nden einen gro�en Aufwand bedeuten. Hierbei stellen die Closed Source-Applikationen ohne standardm��igen Kerberos-Support den problematischsten Teil dar.
Bei Kerberos handelt es sich um eine Alles-oder-Nichts-L�sung. Wenn Kerberos im Netzwerk verwendet werden soll, sind alle unverschl�sselten Passw�rter, die an einen nicht-kerberisierten Service �bertragen werden, einem Risiko unterlegen. D.h., es ergibt sich f�r Ihr Netzwerk keinerlei Vorteil aus der Verwendung von Kerberos. Wenn Sie Ihr Netzwerk durch Kerberos sichern m�chten, m�ssen Sie entweder alle Client/Server-Applikationen, die Passw�rter im Klartext versenden, kerberisieren, oder Sie sollten keine dieser Applikationen in Ihrem Netzwerk verwenden.
