Kerberos armoring mehhanismi toe konfiguratsioonid

Hoiatus!

Kerberos armoring mehhanismi kasutamiseks tuleb administraatorikontod paigutada rühma Protected Users.
See sunnib kasutama NTLM-i asemel Kerberose autentimisprotokolli. Edge Gateway komponent tuleb esmalt konfigureerida Kerberos-autentimist toetama.

Edge Gateway komponendi konfigureerimine Kerberos-autentimise toetamiseks rühma Protected Users paigutatud kontodega

Kerberos armoring mehhanism pakub kliendi ja KDC (Kerberos Domain Controller) vahelistele algsetele andmevahetustele täiendavat krüptimist, kasutades arvutikontoga seotud teavet.

CyberElements Bastion töötab eelistatavalt Debiani arvutites, mis pole AD-domeeniga ühendatud, mis tähendab, et neil pole AD-s arvutikonto teavet.
Kerberos armoring mehhanismi toe konfigureerimine koosneb kahest etapist:

• Teenuse arvutikonto loomine AD-s
• Kerberos armoring mehhanismi konfigureerimine Edge Gateway komponendis eelnevalt loodud konto põhjal

Teenuse arvutikonto loomine

Teave

Sellel lehel kasutatakse näitena teenusekontot nimega svc_cyberelements. Kohandage järgmisi käske vastavalt oma teenusekonto nimele.

Hoiatus!

Kui soovite kasutada PAW-tööjaamu, paigutage see teenusekonto samasse silosse kui siht-PAW-tööjaamad.

Alustage domeenikontrolleris arvutikonto loomisest, millel on Kerberose piletite genereerimiseks kasutatav parool.

Selle konto loomiseks võite domeenikontrollerist kasutada järgmist PowerShelli käsku (teenusekonto loomiseks kohandage teenusekonto nime, näites svc_cyberelements, ja soovitud OU-d, näites OU=Service_accounts,DC=domain,DC=local):

New-ADComputer -Name svc_cyberelements -SAMAccountName 'svc_cyberelements$' -AccountPassword $Null -Path 'OU=Service_accounts,DC=domain,DC=local'-KerberosEncryptionType AES256 -PasswordNeverExpires $True -Enabled $True

Kasutage järgmist käsku, et kontrollida, kas arvutikonto on loodud (asendage svc_cyberelements eelnevalt loodud konto nimega):

Get-ADComputer -Identity svc_cyberelements -Properties Enabled

Seejärel kasutage Windowsi tööriista ktpass, et eksportida keytab-fail, mis sisaldab krüptimisvõtmeid, mille abil saab lüüs TGT tuua.

Näide

Näide faili svc_cyberelements.keytab loomisest arvutikontoga:

ktpass /princ 'svc_cyberelements$@DOMAIN.LOCAL' /mapuser 'svc_cyberelements$@DOMAIN.LOCAL' +rndPass /out svc_cyberelements.keytab /crypto AES256-SHA1 /ptype KRB5_NT_SRV_HST /mapop set

Ärge unustage lisada kontonimede lõppu sümboleid $ ja kirjutada domeeninimi suurtähtedega (nõutav).

Kinnitage kõik ilmuda võivad kinnitusviibad, sisestades y.

Seejärel määrake atribuudi UserPrincipalName väärtus uuesti järgmise PowerShelli käsuga:

Set-ADComputer 'svc_cyberelements$' -UserPrincipalName 'svc_cyberelements$@DOMAIN.LOCAL'

Kerberos armoring mehhanismi konfigureerimine Edge Gateway komponendis

Hankige eelnevalt genereeritud fail keytab ja kopeerige see Edge Gateway serverisse.
Kui on genereeritud mitu faili keytab, mida tuleb kasutada samas Edge Gateway komponendis, ühendage failid keytab üheks failiks.

Hoiatus

Fail keytab sisaldab krüptimisvõtmeid. Kui ründaja selle kätte saab, võib ta esineda seotud arvutikontona, vähendades seeläbi taristu turvalisust.
Seetõttu ei tohiks seda faili talletada kusagil mujal kui Edge Gateway komponendis.

Paigutage fail kausta /etc/ipdiva/cleanroom/.

Muutke faili keytab omanikeks kasutaja ipdivacareuser ja rühm carerecord, seejärel muutke faili lube (kohandage faili keytab vastavalt oma faili nimele):

chown ipdivacareuser:carerecord /etc/ipdiva/cleanroom/svc_cyberelements.keytab
chmod 640 /etc/ipdiva/cleanroom/svc_cyberelements.keytab

Muutke Edge Gateway komponendi konfiguratsioonifaili /etc/ipdiva/cleanroom/xrdprecord.ini, et määrata parameetri keytab= kaudu eelnevalt ettevalmistatud faili keytab tee.

Näide

keytab=/etc/ipdiva/cleanroom/svc_cyberelements.keytab

Selles etapis peaks ühenduse loomine privilegeeritud RDP-rakendustega agendita režiimis (HTML5 või muu) toimima kasutajakontodega, mis kuuluvad rühma Protected Users ja nõuavad seetõttu tugevat Kerberos-autentimist. RDP-rakenduse konfiguratsioon peab vastama teatud eeltingimustele.

Kerberose konfiguratsiooni testimine

Silumine

Järgmised käsud kinit võivad anda rohkem logisid pärast järgmise käsu käivitamist (kehtib kuni SSH- või konsooliseansi ühenduse katkestamiseni):

export KRB5_TRACE=/dev/stdout

Alustame Kerberose pileti hankimisest järgmisega sarnase käsuga:

kinit -k -t /etc/ipdiva/cleanroom/svc_cyberelements.keytab 'svc_cyberelements$@DOMAIN.LOCAL' -c /tmp/test_kerberos

Asendage kindlasti keytab-faili asukoht, loodud teenusekonto nimi ja sellega seotud domeen.

Kui Kerberose pileti hankimine õnnestus, peaks järgmine käsk näitama teenusekonto pileti olemasolu:

klist -c /tmp/test_kerberos

Kui hankimine õnnestub, tuleb proovida hankida kasutaja jaoks pilet järgmisega sarnase käsuga:

kinit -T /tmp/test_kerberos user@DOMAIN.LOCAL

Asendage user@DOMAIN.LOCAL kasutajaga, kes tõenäoliselt loob ühenduse RDP ja Kerberos armoring mehhanismi kaudu. Pange tähele, et küsitakse selle kasutaja parooli.
Kui pileti hankimine õnnestub, kuvab järgmine käsk selle:

klist -c

Kui kuvatakse tõrge KDC policy rejects request while getting initial credentials, tähendab see, et KDC on piletitaotluse tagasi lükanud. Võimalikud põhjused:

• kinit ei saanud kasutada piletit /tmp/test_kerberos (kui kinit ei saa seda kasutada, jätkab see ilma tõrketeateta tavalise piletitaotlusega)
• Teenusekonto ei ole testitud kasutaja silos. See juhtub siis, kui AD on silostatud, ja nõuab, et teenuse arvutikonto paigutataks sobivasse silosse.

Lisateavet leiate kasutatud domeenikontrolleri (KDC) sündmuselogidest Security.

Pärast testimist on soovitatav genereeritud piletid kustutada:

kdestroy
kdestroy -c /tmp/test_kerberos

Mitme keytab-faili ühendamine üheks failiks

Kui CyberElements Bastion arhitektuur põhineb ühel Edge Gateway serveril, mis võimaldab juurdepääsu mitmele kolmandale osapoolele, tuleb kõik eri teenusekontode jaoks genereeritud keytab-failid liita üheks keytab-failiks.

Märkus

Selles peatükis eeldame järgmisi keytab-faile: /root/t0.keytab, /root/t1.keytab ja /root/t2.keytab. Need failid peavad olema saadetud Edge Gateway komponenti.

Failide keytab ühendamiseks logige Edge Gateway komponenti sisse kasutajana root ja kasutage seejärel järgmisi käske:

ktutil
rkt /root/t0.keytab
rkt /root/t1.keytab
rkt /root/t2.keytab
wkt /root/unified.keytab

Käsud rkt võimaldavad laadida nii palju faile keytab, kui vaja, ja käsk wkt genereerib uue faili keytab.
Muutke failiteid vastavalt teie käsutuses olevatele.

Utiliidist ktutil väljumiseks vajutage klahvi q.

Hankige fail unified.keytab ja järgige peatükki Configuring Kerberos shielding on the Edge Gateway.