Kerberos+SSH安装配置使用教程

只谈情不闲聊 提交于 2019-11-28 19:48:29

一、背景说明

最早听说KDC和Kerberos应该是大三的《应用密码学》,当时感觉这套对称密钥分发机制比非对称密钥的PKI分发机制要好理解。但几年下来由于现实中使用SSL的场景比较比(主要是https)接触得也就比较多所以对PKI的认识反倒超过了KDC。

Kerberos的接触印象中只有某运营商大数据平台一主机要ssh到其他主机时需要先kinit申请票据一把,具体原理不是很清楚,也没有深入探究。这几天一是比较有空二是感觉以后用得上所以来探究一番,本文可以认为是本链接文档的一次实现。

另外,首先要明确Kerberos是KDC思想的一个具体实现,正如当下的数字签名证书是PKI思想的一个具体实现一样;只是他们都实现得都比较好,以至于与各自的思想基本成为同义词。

 

二、Kerberos+SSH安装配置

2.1 安装配置Kerberos

2.1.1 前置操作

将当前用户设置成sudo免密码。编缉/etc/sudoers文件追加以下内容(ls是我当前用户,操作时请改成自己的):

ls ALL=(ALL) NOPASSWD: ALL

将后续要使用的域名/主机名指向本地。编缉/etc/hosts写入以下内容(192.168.220.143是我电脑当前的IP,改成自己的;最后的ls-virtual-machine是我电脑当前的主机名,改成自己的;另外如果/etc/hosts存在有将主机名解析到127.0.0.1的条目,则应将其删除)

127.0.0.1  localhost
192.168.220.143 monarch.example.com monarch krb1.example.com krb1 ls-virtual-machine

 

2.1.2 安装Kerberos服务

sudo apt install krb5-admin-server krb5-kdc -y

安装krb5-admin-server时要确认几个问题(不同操作系统用Kerberos形式可能有些许差别,但意思都差不多),如下输入直接回车即可。

指定默认领域,使用EXAMPLE.COM:

Default Kerberos version 5 realm? EXAMPLE.COM

默认领域使用的Kerberos服务器,使用krb1.example.com(前边2.1我们已将krb1.example.com也指向本地)

Kerberos servers for your realm: krb1.example.com

默认领域使用的管理服务器,一样使用krb1.example.com:

Administrative server for your Kerberos realm: krb1.example.com

 

2.1.3 初始化配置

使用以下命令初始化前边配置的EXAMPLE.COM领域对应的数据库,并设置该领域的密码:

sudo krb5_newrealm

编缉/etc/krb5.conf,定位到[domain_realm]节区,追回以下内容:

.example.com = EXAMPLE.COM
example.com = EXAMPLE.COM

继续编缉/etc/krb5.conf,在文件末尾追加以下内容,设置其日志文件目录:

[logging]
    kdc = FILE:/var/log/kerberos/krb5kdc.log
    admin_server = FILE:/var/log/kerberos/kadmin.log
    default = FILE:/var/log/kerberos/krb5lib.log

由于/var/log/kerberos目录是不存在的,所以我们还要把这日志目录和文件创建出来:

sudo mkdir /var/log/kerberos
sudo touch /var/log/kerberos/{krb5kdc,kadmin,krb5lib}.log
sudo chmod -R 750  /var/log/kerberos

最后为使以上配置生效,我们需要重启服务:

sudo invoke-rc.d krb5-admin-server restart
sudo invoke-rc.d krb5-kdc restart

 

2.1.4 创建策略集

策略集就是规则的集合,我们这里创建admin/host/service/user四个策略集(minlength是策略集的密码长度,minclasses是密码的元素种类),过程如下:

ls@ls-virtual-machine:~$ sudo kadmin.local
Authenticating as principal root/admin@EXAMPLE.COM with password.
kadmin.local:  add_policy -minlength 8 -minclasses 3 admin
kadmin.local:  add_policy -minlength 8 -minclasses 4 host
kadmin.local:  add_policy -minlength 8 -minclasses 4 service
kadmin.local:  add_policy -minlength 8 -minclasses 2 user
kadmin.local:  
kadmin.local:  quit

 

2.1.5 在规则集下创建具体账号

其中的user表示隶属user策略集,ls是用户名(ls是我当前用户名,改成自己的);设置的密码一定要记住,因为该账号要获取票据时要使用该密码:

ls@ls-virtual-machine:~$ sudo kadmin.local
Authenticating as principal root/admin@EXAMPLE.COM with password.
kadmin.local:  addprinc -policy user ls
Enter password for principal "ls@EXAMPLE.COM": 
Re-enter password for principal "ls@EXAMPLE.COM": 
Principal "ls@EXAMPLE.COM" created.
kadmin.local:  
kadmin.local:  quit

 

2.2 ssh集成Kerberos

经过以上步骤,我们已经安装好了Kerberos,现在来演示如何使用kerberos完成ssh认证和登录。

2.2.1 安装ssh

sudo apt install openssh-server openssh-client

 

2.2.2 配置ssh支持Kerberos认证

编缉/etc/ssh/sshd_config,启用以下项(其中最后的“UsePAM yes”一般已启用):

GSSAPIAuthentication yes
GSSAPICleanupCredentials yes
GSSAPIKeyExchange yes
UsePAM yes

重启ssh使配置生效:

sudo invoke-rc.d ssh restart

 

2.2.3 创建ssh登录相关规则

service仍然是我们前面添加的service策略集;host是telnet/rsh/ssh等服务在kerberos中的统称,monarch.example.com是规则适用的主机名:

ls@ls-virtual-machine:~$ sudo kadmin.local
Authenticating as principal root/admin@EXAMPLE.COM with password.
kadmin.local:  addprinc -policy service -randkey host/monarch.example.com
Principal "host/monarch.example.com@EXAMPLE.COM" created.
kadmin.local:  ktadd -k /etc/krb5.keytab -norandkey host/monarch.example.com
Entry for principal host/monarch.example.com with kvno 1, encryption type aes256-cts-hmac-sha1-96 added to keytab WRFILE:/etc/krb5.keytab.
Entry for principal host/monarch.example.com with kvno 1, encryption type arcfour-hmac added to keytab WRFILE:/etc/krb5.keytab.
Entry for principal host/monarch.example.com with kvno 1, encryption type des3-cbc-sha1 added to keytab WRFILE:/etc/krb5.keytab.
Entry for principal host/monarch.example.com with kvno 1, encryption type des-cbc-crc added to keytab WRFILE:/etc/krb5.keytab.
kadmin.local:
kadmin.local:  quit

 

2.2.4 获取用户票据

ls是我当前的用户名,改成自己的;获取票据的密码是2.5中创建规则时设的密码(klist -f用于查看当前存在的票据):

ls@ls-virtual-machine:~$ kinit ls
Password for ls@EXAMPLE.COM: 
ls@ls-virtual-machine:~$ 
ls@ls-virtual-machine:~$ klist -f
Ticket cache: FILE:/tmp/krb5cc_1000
Default principal: ls@EXAMPLE.COM

Valid starting       Expires              Service principal
2019-08-06T15:56:52  2019-08-07T01:56:52  krbtgt/EXAMPLE.COM@EXAMPLE.COM
        renew until 2019-08-07T15:54:39, Flags: FPRIA

 

2.2.5 登录测试

使用使用获取票据的用户(ls)及可通过票据登录的主机(monarch.example.com),如下不需要密码即可直接登录:

 

三、原理分析

因为有不少概念自己也不太确定,理解可能有偏差甚至错误,所以在阅读时需要自行斟酌。

3.1 KDC原理

角色:密钥分发中心KDC、用户A、用户B。KDC保存有与用户A、用户B通信的对称密钥,用户A、用户B保存有与KDC通信的对称密钥。

期望操作:用户A想和用户B进行通信。

实现过程:用户A向KDC,使用Ka-kdc加密,发送想与用户B通信的请求。

                  KDC接收到请求后,使用Ka-kdc解密,生成Ka-b,并将其使用Ka-kdc加密发送给A、使用Kb-kdc加密发送给B。

                  A和B接收到后,分别使用Ka-kdc和Kb-kdc解密出Ka-b

                  A使用Ka-b向B发送加密消息。

说明:可以看到,在此模式中KDC需要存储与所有用户通信的Key,而所有用户只需要存储与KDC通信的Key,用户与用户之间的Key是动态生成和分发的。

 

3.2 Kerberos过程

角色:认证服务器AS、票据认可服务器TGS、服务器端DS、客户端A;前两者相当于KDC,前三者是Kerberos所指的三个服务器。前三者存放有相互通信所用的对称密钥,客户端A不存放任何对称密钥。

期望操作:客户端A想和服务器端DS进行通信。

实现过程:客户端A向AS,以明文形式,索取访问TGS的票据。

                  AS收到请求后,验证A发来的用户名密码,如果正确则生成Ka-tgs,并将其使用借助密码生成的Ka-as加密发送给A、使用Kas-tgs加密发送给TGS。

                  A收到后根据也根据密码生成Ka-as解密,TGS也使用Kas-tgs解密。

                  A使用得到的Ka-tgs,加密,向TGS请求与B进行通信。

                  TGS接收到请求后,使用Ka-tgs解密,根据其意向,生成Ka-b,并将其分别使用Ka-tgs加密发送给A、使用Kb-tgs加密发送给B。

                  A和B接收到后,分别使用Ka-tgs和Kb-tgs解密出Ka-b

                  A使用Ka-b向B发送加密消息。

说明:Kerberos将KDC拆分为AS和TGS两个服务,这样的好处是,Ka-tgs是有有效期的不再像前边Ka-kdc一样长期有效,当Ka-tgs过期之后用户可以通过输入密码获取新的Ka-tgs

 

3.3 SSH中的Kerberos过程

角色对应:Kerberos启了哪些进程/服务还没有分析哪个是AS哪个是TGS就先不懂,SSH服务端相当于DS,SSH客户端相当于客户端A。

操作对应:2.1.5的创建账号,就是在AS数据库中导入账号信息。

                 2.2.4中kinit ls,就是向AS申请访问TGS的票据。

                 2.2.5中登录时,SSH客户端才向TGS请求访问SSH服务端。

 

3.4 KDC与PKI的优劣分析

从最终效果上看,KDC和PKI都完成了对称密钥的分发,即效果是一样的。

从前置条件上看,首先KDC在仍意环境中都需要一个专门的服务(器),其次其要存储的用户数据(用户名、密码或对称密钥)会随用户的增长而增长,最后由于用户和KDC之间使用的是对称密钥所以非否性可能会有问题。

总的而言,感觉KDC适用于内部网络服务之间的通信,PKI适用于外部网络客户端与服务器之间的通信。

 

参考:

http://techpubs.spinlocksolutions.com/dklar/kerberos.html#krb-install

易学教程内所有资源均来自网络或用户发布的内容,如有违反法律规定的内容欢迎反馈
该文章没有解决你所遇到的问题?点击提问,说说你的问题,让更多的人一起探讨吧!