Aqbeż għall-kontenut

Konfigurazzjonijiet għall-appoġġ tal-mekkaniżmu Kerberos armoring

Twissija!

Sabiex jintuża l-mekkaniżmu Kerberos armoring, il-kontijiet tal-amministratur iridu jitqiegħdu fil-grupp Protected Users.
Dan iġiegħel l-użu tal-protokoll tal-awtentikazzjoni Kerberos minflok NTLM. L-ewwel, il-komponent Edge Gateway irid jiġi kkonfigurat biex jappoġġja l-awtentikazzjoni Kerberos.

Konfigurazzjoni tal-komponent Edge Gateway biex jappoġġja l-awtentikazzjoni Kerberos b’kontijiet imqiegħda fil-grupp Protected Users

Il-mekkaniżmu Kerberos armoring jipprovdi kriptaġġ addizzjonali għall-iskambji inizjali bejn il-klijent u l-KDC (Kerberos Domain Controller) bl-użu ta’ informazzjoni marbuta ma’ kont tal-kompjuter.

CyberElements Bastion preferibbilment jaħdem fuq kompjuters Debian li mhumiex konnessi ma’ dominju AD, li jfisser li ma għandhom l-ebda informazzjoni ta’ kont tal-kompjuter fl-AD.
Il-konfigurazzjoni biex jiġi appoġġjat il-mekkaniżmu Kerberos armoring tikkonsisti f’żewġ passi:

  • Il-ħolqien ta’ kont tal-kompjuter tas-servizz fl-AD
  • Il-konfigurazzjoni tal-mekkaniżmu Kerberos armoring fuq il-komponent Edge Gateway abbażi tal-kont maħluq qabel

Ħolqien ta’ kont tal-kompjuter tas-servizz

Informazzjoni

Din il-paġna se tuża kont tas-servizz bl-isem svc_cyberelements bħala eżempju. Adatta l-kmandi li ġejjin skont l-isem tal-kont tas-servizz tiegħek.

Twissija!

Jekk trid tuża stazzjonijiet tax-xogħol PAW, poġġi dan il-kont tas-servizz fl-istess silo bħall-istazzjonijiet tax-xogħol PAW fil-mira.

Mill-kontrollur tad-dominju, ibda billi toħloq kont tal-kompjuter b’password użata biex jiġu ġġenerati l-biljetti Kerberos.

Biex toħloq dan il-kont, tista’ tuża l-kmand Powershell li ġej minn kontrollur tad-dominju (adatta l-isem tal-kont tas-servizz, svc_cyberelements fl-eżempju, u l-OU mixtieqa, OU=Service_accounts,DC=domain,DC=local fl-eżempju, biex toħloq il-kont tas-servizz):

1
New-ADComputer -Name svc_cyberelements -SAMAccountName 'svc_cyberelements$' -AccountPassword $Null -Path 'OU=Service_accounts,DC=domain,DC=local'-KerberosEncryptionType AES256 -PasswordNeverExpires $True -Enabled $True

Uża l-kmand li ġej biex tivverifika li l-kont tal-kompjuter ġie maħluq (ibdel svc_cyberelements bl-isem tal-kont maħluq qabel):

1
Get-ADComputer -Identity svc_cyberelements -Properties Enabled

Imbagħad uża l-għodda ktpass ta’ Windows biex tesporta fajl keytab li jkun fih ċwievet tal-kriptaġġ li jagħmluha possibbli għall-gateway li jikseb it-TGT.

Eżempju

Eżempju għall-ħolqien ta’ fajl svc_cyberelements.keytab bil-kont tal-kompjuter:

1
ktpass /princ 'svc_cyberelements$@DOMAIN.LOCAL' /mapuser 'svc_cyberelements$@DOMAIN.LOCAL' +rndPass /out svc_cyberelements.keytab /crypto AES256-SHA1 /ptype KRB5_NT_SRV_HST /mapop set
Ftakar li tinkludi s-simboli $ fit-tarf tal-ismijiet tal-kontijiet u li tikteb l-isem tad-dominju b’ittri kbar (meħtieġ).

Aċċetta kwalunkwe talba għal konferma li tista’ tidher billi ddaħħal y.

Imbagħad erġa’ ssettja l-valur tal-attribut UserPrincipalName bil-kmand PowerShell li ġej:

1
Set-ADComputer 'svc_cyberelements$' -UserPrincipalName 'svc_cyberelements$@DOMAIN.LOCAL'

Konfigurazzjoni tal-mekkaniżmu Kerberos armoring fuq il-komponent Edge Gateway

Ikseb il-fajl keytab iġġenerat qabel u kkopjah fuq is-server Edge Gateway.
F’kuntest fejn ġew iġġenerati diversi fajls keytab li għandhom jintużaw fuq l-istess komponent Edge Gateway, għaqqad il-fajls keytab f’fajl wieħed.

Twissija

Il-fajl keytab fih ċwievet tal-kriptaġġ. Jekk attakkant jikseb aċċess għalih, ikun jista’ jimpersona l-kont tal-kompjuter assoċjat, u b’hekk titnaqqas is-sigurtà tal-infrastruttura.
Għalhekk, dan il-fajl m’għandu jinħażen imkien ħlief fuq il-komponent Edge Gateway.

Poġġi l-fajl fil-folder /etc/ipdiva/cleanroom/.

Ibdel is-sidien tal-fajl keytab għal ipdivacareuser għall-utent u carerecord għall-grupp, imbagħad immodifika l-permessi tal-fajl (adatta l-fajl keytab skont l-isem tal-fajl tiegħek):

1
2
chown ipdivacareuser:carerecord /etc/ipdiva/cleanroom/svc_cyberelements.keytab
chmod 640 /etc/ipdiva/cleanroom/svc_cyberelements.keytab

Immodifika l-fajl tal-konfigurazzjoni /etc/ipdiva/cleanroom/xrdprecord.ini tal-komponent Edge Gateway biex tispeċifika, permezz tal-parametru keytab=, il-mogħdija għall-fajl keytab ippreparat qabel.

Eżempju

2
keytab=/etc/ipdiva/cleanroom/svc_cyberelements.keytab

F’dan l-istadju, il-konnessjoni ma’ applikazzjonijiet RDP privileġġjati fil-modalità mingħajr aġent (HTML5 jew le) għandha taħdem b’kontijiet tal-utenti li jappartjenu għal Protected Users u li għalhekk jeħtieġu awtentikazzjoni Kerberos b’saħħitha. Il-konfigurazzjoni tal-applikazzjoni RDP trid tissodisfa ċerti prerekwiżiti.

Ittestjar tal-konfigurazzjoni Kerberos

Tneħħija tal-iżbalji

Il-kmandi kinit li ġejjin jistgħu jipprovdu aktar reġistri wara li jiġi eżegwit il-kmand li ġej (validu sakemm tiġi skonnettjata s-sessjoni SSH jew tal-konsol):

1
export KRB5_TRACE=/dev/stdout

Ibda billi tikseb biljett Kerberos b’kmand simili għal dan li ġej:

1
kinit -k -t /etc/ipdiva/cleanroom/svc_cyberelements.keytab 'svc_cyberelements$@DOMAIN.LOCAL' -c /tmp/test_kerberos

Kun żgur li tibdel il-post tal-fajl keytab, l-isem tal-kont tas-servizz li nħoloq, u d-dominju assoċjat miegħu.

Jekk il-ksib tal-biljett Kerberos irnexxa, il-kmand li ġej għandu jindika l-eżistenza ta’ biljett għall-kont tas-servizz:

1
klist -c /tmp/test_kerberos

Jekk il-ksib jirnexxi, imbagħad huwa meħtieġ li tipprova tikseb biljett għal utent b’kmand simili għal dan li ġej:

1
kinit -T /tmp/test_kerberos user@DOMAIN.LOCAL

Ibdel user@DOMAIN.LOCAL b’utent li x’aktarx se jikkonnettja permezz ta’ RDP u tal-mekkaniżmu Kerberos armoring. Innota li l-password ta’ dan l-utent tintalab.
Jekk il-ksib tal-biljett jirnexxi, il-kmand li ġej jurih:

1
klist -c

Jekk jintwera l-iżball KDC policy rejects request while getting initial credentials, dan ifisser li l-KDC irrifjuta t-talba għall-biljett. Kawżi possibbli:

  • kinit ma setax juża l-biljett /tmp/test_kerberos (jekk kinit ma jistax jużah, ikompli mingħajr messaġġ ta’ żball b’talba bażika għal biljett)
  • Il-kont tas-servizz mhuwiex preżenti fis-silo tal-utent ittestjat. Dan iseħħ meta l-AD ikun iżolat f’silos u jeħtieġ li l-kont tal-kompjuter tas-servizz jitqiegħed fis-silo xieraq.

Tista’ ssib informazzjoni addizzjonali fir-reġistri tal-avvenimenti Security tal-kontrollur tad-dominju (KDC) użat.

Wara l-ittestjar, huwa rakkomandat li tħassar il-biljetti ġġenerati:

1
2
kdestroy
kdestroy -c /tmp/test_kerberos

Għaqda ta’ diversi fajls keytab f’fajl wieħed

Jekk l-arkitettura ta’ CyberElements Bastion hija bbażata fuq komponent Edge Gateway wieħed li se jagħti aċċess lil diversi partijiet terzi, huwa meħtieġ li l-fajls keytab kollha ġġenerati għall-kontijiet tas-servizz differenti jingħaqdu f’fajl keytab wieħed.

Nota

F’dan il-kapitolu, se nassumu l-fajls keytab li ġejjin: /root/t0.keytab, /root/t1.keytab u /root/t2.keytab. Dawn il-fajls iridu jkunu ntbagħtu lill-komponent Edge Gateway.

Biex tgħaqqad il-fajls keytab, idħol fil-komponent Edge Gateway bħala root, imbagħad uża l-kmandi li ġejjin:

1
2
3
4
5
ktutil
rkt /root/t0.keytab
rkt /root/t1.keytab
rkt /root/t2.keytab
wkt /root/unified.keytab

Il-kmandi rkt jagħmluha possibbli li tgħabbi kemm fajls keytab ikunu meħtieġa, u l-kmand wkt jiġġenera fajl keytab ġdid.
Immodifika l-mogħdijiet tal-fajls skont dawk li għandek.

Agħfas it-tasta q biex toħroġ mill-utilità ktutil.

Ikseb il-fajl unified.keytab u segwi l-kapitolu Configuring Kerberos shielding on the Edge Gateway.