Kerberos - autenticazione centralizzata

Dimensione: px

Iniziare la visualizzazioe della pagina:

Download "Kerberos - autenticazione centralizzata"

Gianpiero Parente
10 anni fa
Visualizzazioni

1 - autenticazione centralizzata

2 Iniziamo con Kerberos... Kerberos Kerberos è un protocollo di rete per l'autenticazione tramite crittografia che permette a diversi terminali di comunicare su una rete informatica insicura provando la propria identità e cifrando i dati (vengono utilizzati dei token al posto di utente e password)

crittografia che permette a diversi terminali di comunicare su una rete

3 Principal, sono i client che richiedono servizi, i server che offrono servizi e gli utenti che accedono al sistema KDC - Key Distribution Center, tipicamente un server su cui sono in esecuzione due servizi AS e TGS, si occupa di autenticare i Principal, di rilasciare i ticket e mantenere aggiornato il database dei Principal. Kerberos...

su cui sono in esecuzione due servizi AS e TGS, si occupa di autenticare i

4 La logica di funzionamento di Kerberos consente ad un Principal di essere autenticato senza dover MAI inviare la password in rete. Se volete approfondire: org/software/tutorial. html# Kerberos...

5 Esistono alcune implementazioni open-source di Kerberos tra cui: MIT Kerberos Heymdal Kerberos entrambe le soluzioni, concettualmente, funzionano allo stesso modo, i tool di configurazione sono però diversi. questa sera parleremo di MIT Kerberos

org/ entrambe le soluzioni, concettualmente, funzionano allo stesso modo,

6 E' possibile realizzare una soluzione basata su Kerberos + LDAP + Samba ed ottenere in questo modo (circa) l'equivalente di un MS Active Directory. Questa è una guida su come fare... se siete interessati e PAZZI/CORAGGIOSI! _Kerberos: _creare_un_controller_di_dominio_sicuro_con_debian_lenny Questo è invece un buon how-to su come utilizzare LDAP come base dati per Kerberos 10/ubuntu/serverguide/it/kerberos-ldap.html

7 Questa è la guida da cui ho preso spunto: NB. in questo corso NON utilizzeremo Kerberos... ma ve lo spiego comunque per cultura generale :-)

8 Per prima cosa verifichiamo il contenuto del file /etc/hosts localhost localhost.levicoopen.locale srvad.levicoopen.locale srvad Installiamo il server # apt-get install krb5-{admin-server,kdc} Creiamo il reame # krb5_newrealm

9 Modifichiamo il contenuto del file /etc/krb5.conf [domain_realm].levicoopen.locale = LEVICOOPEN.LOCALE levicoopen.locale = LEVICOOPEN.LOCALE [logging] kdc = FILE:/var/log/kerberos/krb5kdc.log admin_server = FILE:/var/log/kerberos/kadmin.log default = FILE:/var/log/kerberos/krb5lib.log

LOCALE LOCALE [logging] kdc = FILE:/var/log/kerberos/krb5kdc.

10 Predisponiamo i log per kerberos # mkdir /var/log/kerberos # touch /var/log/kerberos/{krb5kdc,kadmin,krb5lib}.log # chmod -R 750 /var/log/kerberos e rifacciamo partire i servizi # invoke-rc.d krb5-admin-server restart # invoke-rc.d krb5-kdc restart OK... la configurazione lato server è finita :-)

log # chmod -R 750 /var/log/kerberos e rifacciamo partire i servizi #

11 Facciamo un po di test: # kadmin.local --> per amministratore kerberos direttamente dalla console (? per accedere all'elenco dei comandi) Alcuni comandi utilizzabili da kadmin.local listprincs --> elenco dei principal kadmin/[email protected] kadmin/[email protected] kadmin=utente admin,changepw=ruolo LEVICOOPEN.LOCALE=reame quit --> per uscire da kadmin.local

per accedere all'elenco dei comandi) Alcuni comandi utilizzabili da kadmin.

12 Tramite kadmin.local è possibile definire anche delle policy che potranno essere successivamente applicate ai vari principals. add_policy -minlength 8 -minclasses 1 admin add_policy -minlength 8 -minclasses 1 host add_policy -minlength 8 -minclasses 1 service add_policy -minlength 8 -minclasses 1 user listpols --> per visualizzare l'elenco delle policy getpols NOMEPOLICY --> per visualizzare le proprietà di una policy

13 Facciamo in modo che gli utenti con ruolo/policy admin abbiano effettivamente i permessi di amminstrazione. Modifichiamo il contenuto del file /etc/krb5kdc/kadm5.acl */admin * che tradotto significa: tuttigliutenti con policy admin possono fare tutto! e riavviamo i servizi kerberos # invoke-rc.d krb5-admin-server restart # invoke-rc.d krb5-kdc restart

acl */admin * che tradotto significa: tuttigliutenti con policy admin possono fare tutto!

14 Creiamo il nostro primo principal con PRIVILEGI di amministratore addprinc -policy admin root/admin listprincs quit e verifichiamo che il nuovo principal riesca a connettersi a kerberos NB. utilizzeremo kadmin al posto di kadmin.local # kadmin -p root/admin

e verifichiamo che il nuovo principal riesca a connettersi a

15 Creiamo il nostro secondo principal SENZA PRIVILEGI amministrativi addprinc -policy user pippo listprincs quit e verifichiamo se il nuovo utente "pippo" riceve il suo ticket! # klist -f # kinit pippo # klist -f Ticket cache: FILE:/tmp/krb5cc_0 Default principal: [email protected] Valid starting Expires Service principal 01/04/12 11:14:49 01/04/12 21:14:49 krbtgt/levicoopen.locale@levicoopen. LOCALE renew until 01/05/12 11:14:47, Flags: FPRIA per poi distruggerlo # kdestroy

# klist -f # kinit pippo # klist -f Ticket cache: FILE:/tmp/krb5cc_0 Default principal: pippo@levicoopen.

16 - servizi kerberizzati Ogni servizio può supportare l'autenticazione Kerberos: tramite il supporto nativo per Kerberos krb5-ftpd - Secure FTP server supporting MIT Kerberos krb5-rsh-server - Secure replacements for rshd and rlogind using MIT Kerberos krb5-telnetd - Secure telnet server supporting MIT Kerberos oppure delegando il lavoro di autenticazione al sottosistema PAM questo significa che, in linea di massima, è possibile kerberizzare qualsiasi servizio di rete. ecco come installare un servizio kerberizzato: http: //techpubs.spinlocksolutions.com/dklar/kerberos.html

supporting MIT Kerberos oppure delegando il lavoro di autenticazione al sottosistema PAM questo significa che, in linea di massima, è possibile

17 - servizi kerberizzati

Documenti analoghi

Reti di Telecomunicazione Lezione 7

Reti di Telecomunicazione Lezione 7 Marco Benini Corso di Laurea in Informatica [email protected] Il protocollo Programma della lezione file transfer protocol descrizione architetturale descrizione