Léim go dtí an t-ábhar

Cumraíochtaí chun tacú le Kerberos armoring

Rabhadh!

Chun go n-úsáidfear Kerberos armoring, ní mór na cuntais riarthóra a chur sa ghrúpa Protected Users.
Cuireann sé seo iallach ar úsáid an phrótacail fíordheimhnithe Kerberos in ionad NTLM. Ní mór an chomhpháirt Edge Gateway a chumrú ar dtús chun tacú le fíordheimhniú Kerberos.

An chomhpháirt Edge Gateway a chumrú chun tacú le fíordheimhniú Kerberos le cuntais atá curtha in Protected Users

Soláthraíonn Kerberos armoring criptiú breise do na malartuithe tosaigh idir an cliant agus an KDC (Kerberos Domain Controller) trí úsáid a bhaint as faisnéis atá nasctha le cuntas ríomhaire.

Ritheann CyberElements Bastion, más féidir, ar ríomhairí Debian nach bhfuil ceangailte le fearann AD, rud a chiallaíonn nach bhfuil aon fhaisnéis chuntais ríomhaire acu ar an AD.
Tá dhá chéim sa chumraíocht chun tacú le Kerberos armoring:

  • Cuntas ríomhaire seirbhíse a chruthú san AD
  • Kerberos armoring a chumrú ar an gcomhpháirt Edge Gateway bunaithe ar an gcuntas a cruthaíodh roimhe seo

Cuntas ríomhaire seirbhíse a chruthú

Faisnéis

Úsáidfidh an leathanach seo cuntas seirbhíse darb ainm svc_cyberelements mar shampla. Cuir na horduithe seo a leanas in oiriúint d'ainm do chuntais seirbhíse.

Rabhadh!

Más mian leat stáisiúin oibre PAW a úsáid, cuir an cuntas seirbhíse seo sa silo céanna leis na stáisiúin oibre PAW sprice.

Ón rialaitheoir fearainn, tosaigh trí chuntas ríomhaire a chruthú le pasfhocal a úsáidtear chun ticéid Kerberos a ghiniúint.

Chun an cuntas seo a chruthú, is féidir leat an t-ordú Powershell seo a leanas a úsáid ó rialaitheoir fearainn (cuir in oiriúint ainm an chuntais seirbhíse, svc_cyberelements sa sampla, agus an OU atá uait, OU=Service_accounts,DC=domain,DC=local sa sampla, chun an cuntas seirbhíse a chruthú):

1
New-ADComputer -Name svc_cyberelements -SAMAccountName 'svc_cyberelements$' -AccountPassword $Null -Path 'OU=Service_accounts,DC=domain,DC=local'-KerberosEncryptionType AES256 -PasswordNeverExpires $True -Enabled $True

Úsáid an t-ordú seo a leanas chun a fhíorú gur cruthaíodh an cuntas ríomhaire (cuir ainm an chuntais a cruthaíodh roimhe seo in ionad svc_cyberelements):

1
Get-ADComputer -Identity svc_cyberelements -Properties Enabled

Ansin, úsáid an uirlis Windows ktpass chun comhad keytab a easpórtáil ina mbeidh eochracha criptithe a ligfidh don gheata an TGT a fháil.

Sampla

Sampla chun comhad svc_cyberelements.keytab a chruthú leis an gcuntas ríomhaire:

1
ktpass /princ 'svc_cyberelements$@DOMAIN.LOCAL' /mapuser 'svc_cyberelements$@DOMAIN.LOCAL' +rndPass /out svc_cyberelements.keytab /crypto AES256-SHA1 /ptype KRB5_NT_SRV_HST /mapop set
Cuimhnigh na siombailí $ a chur ag deireadh ainmneacha na gcuntas agus ainm an fhearainn a scríobh i gceannlitreacha (riachtanach).

Glac le haon leideanna deimhnithe a d'fhéadfadh a bheith le feiceáil trí y a iontráil.

Ansin, athshocraigh luach na tréithe UserPrincipalName leis an ordú PowerShell seo a leanas:

1
Set-ADComputer 'svc_cyberelements$' -UserPrincipalName 'svc_cyberelements$@DOMAIN.LOCAL'

Kerberos armoring a chumrú ar an gcomhpháirt Edge Gateway

Faigh an comhad keytab a gineadh roimhe seo agus cóipeáil é chuig an bhfreastalaí Edge Gateway.
I gcomhthéacs inar gineadh roinnt comhad keytab agus gur gá iad a úsáid ar an gcomhpháirt Edge Gateway chéanna, cumaisc na comhaid keytab i gcomhad amháin.

Rabhadh

Tá eochracha criptithe sa chomhad keytab. Má fhaigheann ionsaitheoir greim air, is féidir leis ligean air gurb é an cuntas ríomhaire gaolmhar é, rud a laghdaíonn slándáil an bhonneagair.
Dá bhrí sin, níor cheart an comhad seo a stóráil in aon áit eile ach ar an gcomhpháirt Edge Gateway.

Cuir an comhad san fhillteán /etc/ipdiva/cleanroom/.

Athraigh úinéirí an chomhaid keytab go ipdivacareuser don úsáideoir agus carerecord don ghrúpa, agus ansin modhnaigh ceadanna an chomhaid (athraigh an comhad keytab de réir ainm do chomhaid féin):

1
2
chown ipdivacareuser:carerecord /etc/ipdiva/cleanroom/svc_cyberelements.keytab
chmod 640 /etc/ipdiva/cleanroom/svc_cyberelements.keytab

Modhnaigh comhad cumraíochta /etc/ipdiva/cleanroom/xrdprecord.ini na comhpháirte Edge Gateway chun conair an chomhaid keytab a ullmhaíodh roimhe seo a shonrú tríd an bparaiméadar keytab=.

Sampla

2
keytab=/etc/ipdiva/cleanroom/svc_cyberelements.keytab

Ag an bpointe seo, ba cheart go n-oibreodh an ceangal le feidhmchláir RDP phribhléideacha sa mhód gan ghníomhaire (HTML5 nó eile) le cuntais úsáideora a bhaineann le Protected Users agus a éilíonn, dá bhrí sin, fíordheimhniú láidir Kerberos. Ní mór do chumraíocht an fheidhmchláir RDP réamhriachtanais áirithe a chomhlíonadh.

Cumraíocht Kerberos a thástáil

Dífhabhtú

Is féidir leis na horduithe kinit seo a leanas níos mó logaí a sholáthar tar éis an t-ordú seo a leanas a rith (bailí go dtí go ndícheanglaítear an seisiún SSH nó consóil):

1
export KRB5_TRACE=/dev/stdout

Tosaímis trí thicéad Kerberos a fháil le hordú cosúil leis an gceann seo a leanas:

1
kinit -k -t /etc/ipdiva/cleanroom/svc_cyberelements.keytab 'svc_cyberelements$@DOMAIN.LOCAL' -c /tmp/test_kerberos

Bí cinnte láthair an chomhaid keytab, ainm an chuntais seirbhíse a cruthaíodh agus an fearann a bhaineann leis a athsholáthar.

Má d'éirigh leis an ticéad Kerberos a fháil, ba cheart go léireodh an t-ordú seo a leanas go bhfuil ticéad ann don chuntas seirbhíse:

1
klist -c /tmp/test_kerberos

Má éiríonn leis an bhfáil, ní mór iarracht a dhéanamh ansin ticéad a fháil d'úsáideoir le hordú cosúil leis an gceann seo a leanas:

1
kinit -T /tmp/test_kerberos user@DOMAIN.LOCAL

Cuir úsáideoir ar dócha go gceanglóidh sé trí RDP agus Kerberos armoring in ionad user@DOMAIN.LOCAL. Tabhair faoi deara go n-iarrfar pasfhocal an úsáideora seo.
Má éiríonn le fáil an ticéid, taispeánfaidh an t-ordú seo a leanas é:

1
klist -c

Má thaispeántar an earráid KDC policy rejects request while getting initial credentials, ciallaíonn sé sin gur dhiúltaigh an KDC don iarratas ar thicéad. Cúiseanna féideartha:

  • Níorbh fhéidir le kinit an ticéad /tmp/test_kerberos a úsáid (mura féidir le kinit é a úsáid, leanann sé ar aghaidh gan teachtaireacht earráide le gnáthiarratas ar thicéad)
  • Níl an cuntas seirbhíse i silo an úsáideora a tástáladh. Tarlaíonn sé seo nuair atá AD roinnte ina silo éagsúla agus éilíonn sé go gcuirfear an cuntas ríomhaire seirbhíse sa silo cuí.

Is féidir faisnéis bhreise a fháil i logaí imeachtaí Security an rialaitheora fearainn (KDC) a úsáideadh.

Tar éis na dtástálacha, moltar na ticéid a gineadh a scriosadh:

1
2
kdestroy
kdestroy -c /tmp/test_kerberos

Roinnt comhad keytab a chumasc i gcomhad amháin

Má tá ailtireacht CyberElements Bastion bunaithe ar fhreastalaí Edge Gateway aonair a thabharfaidh rochtain do roinnt tríú páirtithe, ní mór na comhaid keytab go léir a gineadh do na cuntais seirbhíse éagsúla a chumasc i gcomhad keytab amháin.

Nóta

Sa chaibidil seo, glacfaimid leis go bhfuil na comhaid keytab seo a leanas ann: /root/t0.keytab, /root/t1.keytab agus /root/t2.keytab. Ní mór na comhaid seo a bheith seolta chuig an gcomhpháirt Edge Gateway.

Chun na comhaid keytab a chumasc, logáil isteach sa chomhpháirt Edge Gateway mar root, agus ansin úsáid na horduithe seo a leanas:

1
2
3
4
5
ktutil
rkt /root/t0.keytab
rkt /root/t1.keytab
rkt /root/t2.keytab
wkt /root/unified.keytab

Ligeann na horduithe rkt duit an oiread comhad keytab agus is gá a luchtú, agus gineann an t-ordú wkt comhad keytab nua.
Modhnaigh conairí na gcomhad de réir na gconairí atá agat féin.

Brúigh an eochair q chun an áirgiúlacht ktutil a fhágáil.

Faigh an comhad unified.keytab agus lean an chaibidil Configuring Kerberos shielding on the Edge Gateway.