kerberos - 加密 NFS 使用什么密码？

Question

为了保护 NFS(网络文件系统)，挂载选项 krb5p 可用于加密文件服务器和 NFS 客户端之间的所有流量。身份验证和 key 交换基于 Kerberos。以下是有关如何为 Debian 配置该功能的示例:https://wiki.debian.org/NFS/Kerberos

不幸的是，似乎没有办法配置用于此传输加密的密码。使用什么密码以及如何配置、选择或强制执行该密码？

Answer 1

如果没有将 NFSv4 与 Kerberos 一起使用，而是在许多其他地方使用它，您指的是 GSS-API 通过 Kerberos 提供的 secret 性，该 secret 性是通过 gss_wrap(3)/gss_unwrap(3) 实现的。 。它提供了保护参数的质量，但我非常确定 NFSv4 会将其保留为空 => 由机制自行决定。

无论如何，考虑到 GSS-API 完全从机制中抽象出来，你可能别无选择，但你仍然可以做一些事情。在您的 KDC 中至少启用 RC4，最多启用 AES128 和 AES256。实现将使用最佳可用密码。您可以扫描客户端与 TGS(TGS-REQ 和 TGS-REP)、客户端与服务器(NFS)之间的流量，以查看哪种加密类型已经协商好，这将高度用于包装/展开。您始终可以像我一样阅读 RFC，但这需要花费大量时间来理解。

希望这有帮助。当然，我对 NFSv4 内部结构的看法可能是完全错误的。

刚刚进行了一些挖掘，现在我非常确定我的分析是正确的。 RFC 7530, chapter 3.2.1讨论 krb5p 的 Kerberos 5 强制隐私以及 AES 和 HMAC-SHA1。进一步阅读导致 RFC 2203 (RPCSEC_GSS 规范)讨论了 gss_wrap/gss_unwrap。