Systemsicherheit und -Integrit�t innerhalb eines Netzwerkes kann ziemlich schwierig sein und die Zeit von mehreren Systemadministratoren in Anspruch nehmen , wenn es alleinig um das Verfolgen davon geht, welche Dienste auf dem Netzwerk ausgef�hrt werden und wie diese ausgef�hrt werden. Desweiteren kann das Authentifizieren von Benutzern f�r Netzwerkservices gewisse Gefahren bergen, wenn die Methoden hierf�r von Natur aus unsicher sind, wie am Beispiel von �bertragungen unverschl�sselter Passw�rter �ber ein Netzwerk unter FTP- oder Telnetprotokollen bewiesen. Kerberos ist eine Methode, die Notwendigkeit von Protokollen, die eine unsichere Authentifizierung erm�glichen, auszur�umen und somit die Gesamtsicherheit des Netzwerkes zu erh�hen.
19.1. Was ist Kerberos?
Kerberos ist ein von MIT erstelltes Authentifizierungsprotokoll f�r Netzwerke, welches Symmetric-Key Cryptography verwendet,[1] um Benutzer im Netzwerk zu authentifizieren — was das Versenden von Passw�rtern �ber das Netzwerk hinf�llig macht. Das Authentifizieren mit Hilfe von Kerberos h�lt effizient unautorisierte Benutzer vom Versuch ab, Passw�rter im Netzwerk abzufangen.
19.1.1. Vorteile von Kerberos
Die meisten herk�mmlichen Netzwerksysteme verwenden Passwort-basierte Authentifizierungsschemata. Wenn sich daher ein Benutzer an einem Netzwerkserver anmeldet, muss diese/r einen Benutzernamen und Passwort f�r jeden Dienst angeben, der Authentifizierung erfordert. Ungl�cklicherweise erfolgt die �bertragung von Authentifizierungsinformationen bei vielen Diensten unverschl�sselt. Damit ein solches Schemata sicher ist, muss das Netzwerk vor Zugriff von Au�enstehenden gesch�tzt werden und allen Computern und Benutzern auf dem Netzwerk muss vertraut werden k�nnen und m�ssen vertrauensw�rdig sein.
Auch wenn dies der Fall sein sollte, ist das Netzwerk erst einmal mit dem Internet verbunden, kann dessen Sicherheit nicht l�nger angenommen werden. Jeder Hacker, der Zugriff auf das Netzwerk und einen Paket-Analysierer (Packet Sniffer) hat, kann auf diese Weise versendete Passw�rter knacken, was Benutzeraccounts und die Integrit�t der gesamten Sicherheitsinfrastruktur kompromittiert.
Prim�res Ziel von Kerberos ist es, die �bertragung der Authentifizierungsinformationen �ber das Netzwerk zu beseitigen. Die richtige Verwendung von Kerberos vermindert sp�rbar die Gefahr, die Packet-Sniffer andernfalls f�r das Netzwerk bedeuten.
19.1.2. Nachteile von Kerberos
Dank Kerberos wird eine Bedrohung, die ganz allgemein f�r die Sicherheit im Netzwerk besteht, ausgeschaltet. Allerdings kann sich die Implementierung aus folgenden Gr�nden schwierig gestalten:
Das Migrieren von Benutzerpassw�rtern von einer standardm��igen UNIX-Passwortdatenbank wie zum Beispiel /etc/passwd oder /etc/shadow in eine Kerberos-Passwortdatenbank kann langwierig sein, da es zum Durchf�hren dieser Aufgabe keine automatisierten Mechanismen gibt. Detailliertere Informationen finden Sie unter Frage 2.23 in den Kerberos online-FAQ unter:
Kerberos ist nur teilweise mit dem Pluggable Authentication Modules-System (PAM-System) kompatibel, das die meisten Red Hat Enterprise Linux-Server verwenden. Weitere Informationen hierzu finden Sie unter Abschnitt 19.4.
Kerberos nimmt an, dass jeder vertrauensw�rdige Benutzer vertrauensunw�rdige Hosts auf einem vertrauensunw�rdigen Netzwerk verwendet. Seine wichtigste Aufgabe ist es, zu vermeiden, dass Passw�rter unverschl�sselt �ber das Netzwerk versandt werden. Wenn jedoch noch jemand anderes als der richtige Benutzer Zugriff auf den Host hat, welcher die Tickets zur Authentifizierung ausstellt — auch Key Distribution Center (KDC) genannt — besteht die Gefahr, dass das gesamte Kerberos-Authentifizierungssystem kompromittiert wird.
Damit eine Applikation Kerberos verwenden kann, m�ssen ihre Quellen so modifiziert werden, dass die geeigneten Aufrufe an die Kerberos-Bibliotheken gesendet werden k�nnen. Applikationen, die auf diese Art ge�ndert wurden, werden als kerberisiert bezeichnet. Bei einigen Applikationen kann dies aufgrund ihrer Gr��e oder ihrem Design recht problematisch sein. F�r andere Applikationen wiederum muss die Art und Weise ge�ndert werden, in der Server und Clients miteinander kommunizieren. Auch dies kann unter Umst�nden einen gro�en Aufwand bedeuten. Hierbei stellen die Closed Source-Applikationen ohne standardm��igen Kerberos-Support den problematischsten Teil dar.
Bei Kerberos handelt es sich um eine Alles-oder-Nichts-L�sung. Wenn Kerberos im Netzwerk verwendet werden soll, sind alle unverschl�sselten Passw�rter, die an einen nicht-kerberisierten Service �bertragen werden, einem Risiko unterlegen. D.h., es ergibt sich f�r Ihr Netzwerk keinerlei Vorteil aus der Verwendung von Kerberos. Wenn Sie Ihr Netzwerk durch Kerberos sichern m�chten, m�ssen Sie entweder alle Client/Server-Applikationen, die Passw�rter im Klartext versenden, kerberisieren, oder Sie sollten keine dieser Applikationen in Ihrem Netzwerk verwenden.
