[server] Kerberos는 SSH와 어떻게 작동합니까?

첫 로그인 :

• L은 사용자 이름과 SSH 인증 요청을 S1에 보냅니다.
• S1은 사용 가능한 SSH 인증 메커니즘을 “비밀번호”와 함께 반환합니다.
• L은 “암호”를 선택하고 일반 암호를 S1에 보냅니다.
• S1은 사용자 이름과 비밀번호를 PAM 스택에 제공합니다.
• S1에서 PAM (보통 pam_krb5또는 pam_sss)은 Kerberos KDC에 TGT (티켓 부여 티켓)를 요청합니다.
  1. S1은 TGT를 얻는다.
     • 이전 스타일 (사전 인증없이) : S1은 AS-REQ를 전송하고 TGT가 포함 된 AS-REP를 수신합니다.
     • 새로운 스타일 (사전 인증 포함) : S1은 비밀번호를 사용하여 현재 타임 스탬프를 암호화하고 AS-REQ에 첨부합니다. 서버는 타임 스탬프를 해독하고 허용 된 시간 차이 내에 있는지 확인합니다. 암호 해독에 실패하면 암호가 즉시 거부됩니다. 그렇지 않으면 TGT가 AS-REP에 리턴됩니다.
  2. S1은 암호에서 생성 된 키를 사용하여 TGT의 암호 해독을 시도합니다. 암호 해독에 성공하면 암호가 올바른 것으로 수락됩니다.
  3. TGT는 새로 생성 된 자격 증명 캐시에 저장됩니다. ( $KRB5CCNAME환경 변수를 검사하여 ccache를 찾거나 klist해당 내용을 나열 하는 데 사용할 수 있습니다.)
• S1은 PAM을 사용하여 권한 부여 검사 (구성에 따라 다름)를 수행하고 세션을 엽니 다.
  • pam_krb5권한 부여 단계에서 호출 되면 ~/.k5login존재 여부를 확인합니다 . 그렇다면 클라이언트 Kerberos 프린시 펄을 나열해야합니다. 그렇지 않으면 허용되는 유일한 주체는 입니다.username@DEFAULT-REALM

두 번째 로그인 :

• S1은 S2에 사용자 이름 및 SSH 인증 요청을 보냅니다.
• S2는 사용 가능한 인증 mechs를 반환, 그 중 하나는 “gssapi-with-mic” ¹
• S1 은 TGT가 포함 된 TGS-REQ를 KDC에 전송하고 서비스 티켓이 포함 된 TGS-REP를 수신하여 티켓을 요청합니다.host/s2.example.com@EXAMPLE.COM
• S1은 “AP-REQ”(인증 요청)를 생성하여 S2로 보냅니다.
• S2가 요청의 암호 해독을 시도합니다. 성공하면 인증이 완료됩니다. (PAM은 인증에 사용되지 않습니다.)
  • LDAP와 같은 다른 프로토콜은 요청에 포함 된 “세션 키”를 사용하여 추가 데이터 전송을 암호화하도록 선택할 수 있습니다. 그러나 SSH는 이미 자체 암호화 계층을 협상했습니다.
• 인증에 성공하면 S2는 PAM을 사용하여 S1과 동일한 권한 검사를 수행하고 세션을 엽니 다.
• 신임 정보 전달이 사용 가능하고 TGT에 “전달 가능”플래그가있는 경우 S1은 사용자의 TGT 사본 ( “전달됨”플래그가 설정된)을 요청하고이를 S2로 전송하여 새 ccache에 저장합니다. 이것은 재귀 Kerberos 인증 로그인을 허용합니다.

TGT도 로컬에서 얻을 수 있습니다. Linux에서는을 사용하여이 작업을 수행 kinit한 다음을 사용하여 연결하십시오 ssh -K. Windows의 경우 Windows AD 도메인에 로그인하면 Windows가 자동으로이를 수행합니다. 그렇지 않으면 MIT Kerberos를 사용할 수 있습니다. PuTTY 0.61은 Windows (SSPI) 및 MIT (GSSAPI) 사용을 모두 지원하지만 수동으로 전달 (위임)을 활성화해야합니다.

¹ gssapi-keyex 도 가능하지만 공식 OpenSSH에는 수용되지 않았습니다.

답변