Cómo configurar Kerberos para que se ejecute en modo FIPS 140

Antes de empezar

Para que Kerberos se ejecute en Modo FIPS 140, debe activar Modo FIPS 140 en su sistema. Consulte Creación de un entorno de inicio con FIPS 140 activado de Gestión de cifrado y certificados en Oracle Solaris 11.2 .

1. Edite los tipos de cifrado para el KDC.

   En la sección [realms] del archivo kdc.conf, defina el tipo de clave maestra para la base de datos del KDC:

   # pfedit  /etc/krb5/kdc.conf    
   ...
   master_key_type = des3-cbc-sha1-kd

2. En el mismo archivo, prohíba explícitamente otros tipos de cifrado.

   Dado que también puede definir el cifrado al ejecutar un comando, los archivos de configuración deben impedir el uso de un argumento de algoritmo que no pertenece a FIPS 140 para un comando.

           supported_enctypes = des3-cbc-sha1-kd:normal

3. Edite los tipos de cifrado para transacciones en la sección [libdefaults] del archivo krb5.conf.

   Estos parámetros limitan los tipos de cifrado para los clientes, los servicios y los servidores Kerberos.

   # pfedit /etc/krb5/krb5.conf
           default_tgs_enctypes = des3-cbc-sha1-kd
           default_tkt_enctypes = des3-cbc-sha1-kd
           permitted_enctypes = des3-cbc-sha1-kd

4. En el mismo archivo, prohíba explícitamente tipos de cifrado débiles.

           allow_weak_enctypes = false

Errores más frecuentes

Consulte Tipos de cifrado Kerberos.