8.2. Valeurs KDC recommandées
Vue d'ensemble
Cette section fournit des recommandations pour divers paramètres opérationnels du KDC afin de promouvoir l'interopérabilité et un comportement par défaut raisonnable.
Durées de vie des tickets
Durée de vie par défaut du ticket
- Recommandé: 10-12 heures
- Équilibre sécurité et utilisabilité
- Devrait être configurable par politique
Durée de vie maximale du ticket
- Recommandé: 1 jour
- Limite l'exposition des tickets compromis
- Devrait être ajustable selon l'évaluation des risques
Durée de vie du ticket renouvelable
- Recommandé: 1 semaine
- Permet aux processus de longue durée sans stockage d'informations d'identification
- Équilibre commodité et sécurité
Tolérance de décalage d'horloge
Valeur recommandée
- 5 minutes (300 secondes)
- Accommode les problèmes mineurs de synchronisation d'horloge
- Ne devrait pas être trop grande (fenêtre de rejeu)
- Doit être configurable
Chiffrement et somme de contrôle
Support d'algorithme
- Supporter les algorithmes de chiffrement modernes
- Déprécier les algorithmes faibles
- Suivre les meilleures pratiques cryptographiques actuelles
- Voir RFC 3961, 3962, 4120 pour les détails
Pré-authentification
Politiques recommandées
- Exiger la pré-authentification pour les principaux utilisateurs
- Empêche les attaques par dictionnaire hors ligne
- PA-ENC-TIMESTAMP largement supporté
- Considérer des mécanismes de pré-auth supplémentaires
Restrictions d'adresse
Considérations modernes
- Les restrictions d'adresse moins utiles avec NAT/proxies
- Considérer les tickets sans adresse comme défaut
- La politique devrait être configurable
- Équilibrer les besoins de sécurité vs. réalité du déploiement
Inter-royaume
Configuration
- Documenter clairement les relations de confiance
- Établir des politiques transited appropriées
- Considérer l'organisation hiérarchique des royaumes
- Implémenter la vérification de transit de manière appropriée
Référence
Pour les recommandations complètes, se référer à RFC 4120 Section 8.2.