10. Considérations de sécurité
10. Considérations de sécurité
Vue d'ensemble
Cette section discute des considérations de sécurité pour les implémentations et déploiements Kerberos. Comprendre ces considérations est essentiel pour un fonctionnement sécurisé.
Propriétés de sécurité fondamentales
Ce que Kerberos fournit
- Authentification des principaux
- Protection contre l'écoute clandestine (avec chiffrement)
- Protection contre la falsification (avec protection d'intégrité)
- Protection contre la réutilisation (avec horodatages et nonces)
Ce que Kerberos NE fournit PAS
- Protection contre le déni de service
- Protection si les clés des principaux sont compromises
- Protection complète contre la devinette de mots de passe
- Autorisation (seulement authentification)
Considérations cryptographiques
Gestion des clés
- Les clés à long terme doivent être gardées secrètes
- La dérivation de clés à partir de mots de passe crée une vulnérabilité
- Des mots de passe forts sont essentiels
- La compromission de clés a un impact large
Sélection d'algorithmes
- Utiliser des algorithmes de chiffrement forts
- Déprécier les algorithmes faibles
- Suivre les meilleures pratiques cryptographiques actuelles
- Planifier l'agilité des algorithmes
Synchronisation d'horloge
Exigences
- Les horloges doivent être faiblement synchronisées
- La tolérance de décalage d'horloge crée une fenêtre de réutilisation
- La synchronisation temporelle sécurisée est essentielle
- NTP ou similaire doit être sécurisé
Considérations réseau
Sécurité DNS
- Les réponses DNS peuvent ne pas être dignes de confiance
- DNSSEC recommandé pour la découverte de KDC
- Risques de canonisation de nom d'hôte
- Validation du nom de principal de service critique
Restrictions d'adresses
- Les adresses IP peuvent être usurpées
- NAT complique les restrictions basées sur les adresses
- Considérer les tickets sans adresse
- Ne pas se fier uniquement aux adresses pour l'autorisation
Authentification inter-domaines
Considérations de confiance
- Le chemin de domaine transité doit être vérifié
- Les domaines non fiables peuvent compromettre l'authentification
- Les serveurs d'application devraient valider le champ transited
- Les clés inter-domaines établissent des relations de confiance
Authentification basée sur mot de passe
Vulnérabilités
- Attaques par dictionnaire hors ligne possibles
- La pré-authentification réduit mais n'élimine pas le risque
- Politiques de mots de passe forts essentielles
- Considérer des facteurs d'authentification supplémentaires
Gestion des tickets
Stockage des credentials
- Les tickets à longue durée de vie augmentent l'exposition
- Les tickets renouvelables équilibrent durée de vie et sécurité
- Cache de credentials sécurisé essentiel
- Considérations de confidentialité persistante
Transfert de tickets
- Les credentials transférés accordent un accès large
- Ne transférer qu'à des services fiables
- Le drapeau OK-AS-DELEGATE fournit des conseils
- Limiter le transfert de credentials
Sécurité d'implémentation
Pièges courants
- Dépassements de tampon dans l'analyse de messages
- Problèmes de temps de vérification à temps d'utilisation
- Attaques par canal auxiliaire sur la cryptographie
- Faiblesses de génération de nombres aléatoires
Meilleures pratiques
- Valider toutes les entrées
- Utiliser des comparaisons à temps constant
- Génération de nombres aléatoires sécurisée
- Mises à jour de sécurité régulières
Sécurité opérationnelle
Distribution de clés
- L'établissement de clé initial doit être sécurisé
- Distribution de clés hors bande
- Procédures d'inscription de mot de passe
- Politiques de rotation de clés
Surveillance et audit
- Enregistrer les événements d'authentification
- Surveiller les activités inhabituelles
- Procédures de réponse aux incidents
- Détection et réponse aux compromissions
Considérations de déploiement
- Équilibrer sécurité et utilisabilité
- Défense en profondeur
- Évaluations de sécurité régulières
- Suivre le principe du moindre privilège