Renforcement de la sécurité des serveurs Kerberos

Suivez les étapes ci-dessous pour accroître la sécurité des serveurs d'application Kerberos et des serveurs KDC.

Tableau 23-4 Renforcement de la sécurité des serveurs Kerberos (liste des tâches)

Procédure d'activation des applications utilisant Kerberos uniquement

Cette procédure restreint l'accès réseau au serveur qui exécute telnet, ftp, rcp, rsh et rlogin pour utiliser des transactions authentifiées par Kerberos uniquement.

1. Modifiez la propriété exec pour le service telnet.

   Ajoutez l'option -a user à la propriété exec pour telnet pour limiter l'accès aux utilisateurs capables de fournir des informations d'authentification valides.

   # inetadm -m svc:/network/telnet:default exec="/usr/sbin/in.telnetd -a user"

2. (Facultatif) Si elle n'est pas déjà configurée, modifiez la propriété exec pour le service telnet.

   Ajoutez l'option -a à la propriété exec pour que ftp autorise uniquement les connexions authentifiées par Kerberos.

   # inetadm -m svc:/network/ftp:default exec="/usr/sbin/in.ftpd -a"

3. Désactivez les autres services.

   Les démons in.rshd et in.rlogind doivent être désactivés.

   # svcadm disable network/shell
   # svcadm disable network/login:rlogin

Procédure de restriction de l'accès aux serveurs KDC

Les serveurs KDC maîtres et esclaves disposent de copies de la base de données KDC stockées localement. La restriction de l'accès à ces serveurs pour sécuriser les bases de données est importante pour la sécurité globale de l'installation Kerberos.

1. Désactivez les services distants, en fonction des besoins.

   Pour fournir un serveur KDC sécurisé, tous les services réseau non essentiels doivent être désactivés. Selon votre configuration, certains de ces services sont peut-être déjà désactivés. Vérifiez le statut du service avec la commande svcs. Dans la plupart des cas, les seuls services devant s'exécuter sont krb5kdc et kadmin, si le KDC est un maître. En outre, tous les services utilisant l'interface de transport loopback (ticlts, ticotsord et ticots) peuvent rester activés.

   # svcadm disable network/comsat
   # svcadm disable network/dtspc/tcp
   # svcadm disable network/finger
   # svcadm disable network/login:rlogin
   # svcadm disable network/rexec
   # svcadm disable network/shell
   # svcadm disable network/talk
   # svcadm disable network/tname
   # svcadm disable network/uucp
   # svcadm disable network/rpc_100068_2-5/rpc_udp

2. Restreignez l'accès au matériel prenant en charge le KDC.

   Pour limiter l'accès physique, assurez-vous que le serveur KDC et son moniteur se trouvent dans un site sécurisé. Les utilisateurs ne doivent pas être en mesure d'accéder à ce serveur d'une façon ou d'une autre.

3. Stockez les sauvegardes de la base de données KDC sur des disques locaux ou les KDC esclaves.

   Réalisez des sauvegardes sur bande de votre KDC uniquement si les bandes sont stockées en toute sécurité. Suivez la même pratique pour les copies de fichiers keytab. Il serait préférable de stocker ces fichiers sur un système de fichiers local non partagé avec d'autres systèmes. Le système de stockage de fichiers peut être le serveur KDC maître ou n'importe lequel des KDC esclaves.

Utilisation d'un fichier dictionnaire pour augmenter la sécurité de mot de passe

Un fichier dictionnaire peut être utilisé par le service Kerberos pour éviter qu'un mot dans le dictionnaire soit utilisé en tant que mot de passe lors de la création de nouvelles informations d'identification. Pour rendre plus difficile le fait de deviner un mot de passe, il est judicieux d'éviter l'utilisation de mots du dictionnaire en tant mots de passe. Par défaut, le fichier /var/krb5/kadm5.dict est utilisé, mais il est vide.

1. Connectez-vous en tant que superutilisateur au KDC maître.
2. Éditez le fichier de configuration KDC (kdc.conf ).

   Vous devez ajouter une ligne afin d'informer le service d'utiliser un fichier dictionnaire. Dans cet exemple, le dictionnaire utilisé est celui inclus dans l'utilitaire spell. Reportez-vous à la page de manuel kdc.conf(4) pour obtenir une description complète du fichier de configuration.

   kdc1 # cat /etc/krb5/kdc.conf
   [kdcdefaults]
           kdc_ports = 88,750
   
   [realms]
           EXAMPLE.COM = {
                   profile = /etc/krb5/krb5.conf
                   database_name = /var/krb5/principal
                   admin_keytab = /etc/krb5/kadm5.keytab
                   acl_file = /etc/krb5/kadm5.acl
                   kadmind_port = 749
                   max_life = 8h 0m 0s
                   max_renewable_life = 7d 0h 0m 0s
                   sunw_dbprop_enable = true
                   sunw_dbprop_master_ulogsize = 1000
                   dict_file = /usr/share/lib/dict/words
                   }

3. Redémarrez les démons Kerberos.

   kdc1 # svcadm restart -r network/security/krb5kdc
   kdc1 # svcadm restart -r network/security/kadmin