Erhöhen der Sicherheit auf Kerberos-Servern

Führen Sie diese Schritte aus, um die Sicherheit von Kerberos-Anwendungsservern und KDC-Servern zu erhöhen.

Tabelle 23-4 Erhöhen der Sicherheit auf Kerberos-Servern (Übersicht der Schritte)

So aktivieren Sie nur kerberisierte Anwendungen

Mit diesem Verfahren wird der Netzwerkzugriff auf den Server, der telnet, ftp, rcp, rsh und rlogin ausführt, auf Transaktionen mit Kerberos-Authentifizierung beschränkt.

1. Ändern Sie die Eigenschaft exec für den telnet-Service.

   Fügen Sie die Option -a user der Eigenschaft exec für telnet hinzu, um den Zugriff auf Benutzer mit gültigen Authentifizierungsinformationen zu beschränken.

   # inetadm -m svc:/network/telnet:default exec="/usr/sbin/in.telnetd -a user"

2. (Optional) Wenn noch nicht konfiguriert, ändern Sie die Eigenschaft exec für den telnet-Service.

   Fügen Sie die Option -a der Eigenschaft exec für ftp hinzu, um nur mit Kerberos authentifizierte Verbindungen zuzulassen.

   # inetadm -m svc:/network/ftp:default exec="/usr/sbin/in.ftpd -a"

3. Deaktivieren Sie andere Services.

   Deaktivieren Sie die Dämonen in.rshd und in.rlogind.

   # svcadm disable network/shell
   # svcadm disable network/login:rlogin

So beschränken Sie den Zugriff auf KDC-Server

Sowohl Master-KDC-Server als auch Slave-KDC-Server verfügen über lokal gespeicherte Kopien der KDC-Datenbank. Für die Sicherheit der gesamten Kerberos-Installation ist es wichtig, dass der Zugriff auf diese Server beschränkt ist und die Datenbanken geschützt sind.

1. Deaktivieren Sie bei Bedarf Remote-Services.

   Um den KDC-Server zu schützen, sollten alle unwesentlichen Netzwerkdienste deaktiviert werden. Abhängig von Ihrer Konfiguration können einige dieser Services bereits deaktiviert sein. Überprüfen Sie den Servicestatus mithilfe des Befehls svcs. In den meisten Fällen müssen nur die Services krb5kdc und kadmin ausgeführt werden, wenn es sich um einen KDC-Master handelt. Außerdem können alle Services, die loopback tli (ticlts, ticotsord und ticots) verwenden, aktiviert bleiben.

   # svcadm disable network/comsat
   # svcadm disable network/dtspc/tcp
   # svcadm disable network/finger
   # svcadm disable network/login:rlogin
   # svcadm disable network/rexec
   # svcadm disable network/shell
   # svcadm disable network/talk
   # svcadm disable network/tname
   # svcadm disable network/uucp
   # svcadm disable network/rpc_100068_2-5/rpc_udp

2. Schränken Sie den Zugriff auf die Hardware ein, die das KDC unterstützt.

   Um den physischen Zugriff einzuschränken, stellen Sie sicher, dass der KDC-Server und dessen Monitor in einem sicheren Gebäude untergebracht sind. Normale Benutzer sollten keinen Zugang zu diesem Server haben.

3. Speichern Sie die Backups der KDC-Datenbank auf lokalen Festplatten oder auf den KDC-Slaves.

   Führen Sie Backups auf Bändern für das KDC nur durch, wenn die Bänder sicher verwahrt werden können. Das gilt auch für Kopien von Schlüsseltabellendateien. Am besten sollten diese Dateien in einem lokalen Dateisystem gespeichert werden, das nicht zur gemeinsamen Nutzung mit anderen Systemen freigegeben ist. Das Dateisystem für die Speicherung kann sich entweder auf dem Master-KDC-Server oder auf einem der Slave-KDCs befinden.

So verwenden Sie eine Wörterbuchdatei zur Erhöhung der Passwortsicherheit

Mit einer Wörterbuchdatei kann der Kerberos-Service verhindern, dass bestimmte, darin aufgeführte Wörter bei der Erstellung neuer Berechtigungsnachweise als Passwörter verwendet werden. Dadurch wird es schwieriger, Passwörter zu erraten. Standardmäßig wird die Datei /var/krb5/kadm5.dict verwendet, die jedoch leer ist.

1. Melden Sie sich als Superuser beim Master-KDC an.
2. Bearbeiten Sie die KDC-Konfigurationsdatei (kdc.conf).

   Damit der Service eine Wörterbuchdatei verwendet, müssen Sie eine Zeile hinzufügen. In diesem Beispiel wird das Wörterbuch des Dienstprogramms spell verwendet. Eine vollständige Beschreibung der Konfigurationsdatei finden Sie auf der Manpage kdc.conf(4).

   kdc1 # cat /etc/krb5/kdc.conf
   [kdcdefaults]
           kdc_ports = 88,750
   
   [realms]
           EXAMPLE.COM = {
                   profile = /etc/krb5/krb5.conf
                   database_name = /var/krb5/principal
                   admin_keytab = /etc/krb5/kadm5.keytab
                   acl_file = /etc/krb5/kadm5.acl
                   kadmind_port = 749
                   max_life = 8h 0m 0s
                   max_renewable_life = 7d 0h 0m 0s
                   sunw_dbprop_enable = true
                   sunw_dbprop_master_ulogsize = 1000
                   dict_file = /usr/share/lib/dict/words
                   }

3. Starten Sie die Kerberos-Dämonen neu.

   kdc1 # svcadm restart -r network/security/krb5kdc
   kdc1 # svcadm restart -r network/security/kadmin