Update the security chapter to version 1.337
which removes KerberosIV documentation. Obtained from: The FreeBSD Dutch Documentation Project
This commit is contained in:
Remko Lodder
parent
30c9f11ef1
commit
6feba6a2ad
Notes:
svn2git
2020-12-08 03:00:23 +00:00
svn path=/head/; revision=36881
1 changed files with 4 additions and 540 deletions
|
|
@ -4,7 +4,7 @@
|
|||
$FreeBSD$
|
||||
|
||||
%SOURCE% en_US.ISO8859-1/books/handbook/security/chapter.sgml
|
||||
%SRCID% 1.336
|
||||
%SRCID% 1.337
|
||||
-->
|
||||
|
||||
<chapter id="security">
|
||||
|
|
@ -72,11 +72,6 @@
|
|||
gebruik met <application>inetd</application>.</para>
|
||||
</listitem>
|
||||
|
||||
<listitem>
|
||||
<para>Hoe <application>KerberosIV</application> op &os;
|
||||
uitgaven eerder dan 5.0 opgezet kan worden.</para>
|
||||
</listitem>
|
||||
|
||||
<listitem>
|
||||
<para>Hoe <application>Kerberos5</application> op &os; opgezet
|
||||
kan worden.</para>
|
||||
|
|
@ -465,8 +460,6 @@
|
|||
mensen die geen fysieke toegang hebben tot werkstations of
|
||||
servers.</para>
|
||||
|
||||
<indexterm><primary>KerberosIV</primary></indexterm>
|
||||
|
||||
<para>Het gebruik van iets als Kerberos geeft de mogelijkheid
|
||||
om het wachtwoord van de account van een medewerker buiten
|
||||
gebruik te stellen of te wijzigen op één plaats,
|
||||
|
|
@ -1068,8 +1061,6 @@
|
|||
|
||||
<indexterm><primary><command>ssh</command></primary></indexterm>
|
||||
|
||||
<indexterm><primary>KerberosIV</primary></indexterm>
|
||||
|
||||
<para>Er zijn een aantal aandachtspunten die in acht genomen
|
||||
moeten worden als Kerberos of ssh gebruikt worden. Kerberos 5
|
||||
is een prima autenticatieprotocol, maar er zitten bugs in de
|
||||
|
|
@ -1713,523 +1704,6 @@ sendmail : PARANOID : deny</programlisting>
|
|||
</sect2>
|
||||
</sect1>
|
||||
|
||||
<sect1 id="kerberosIV">
|
||||
<sect1info>
|
||||
<authorgroup>
|
||||
<author>
|
||||
<firstname>Mark</firstname>
|
||||
<surname>Murray</surname>
|
||||
<contrib>Bijgedragen door </contrib>
|
||||
</author>
|
||||
</authorgroup>
|
||||
<authorgroup>
|
||||
<author>
|
||||
<firstname>Mark</firstname>
|
||||
<surname>Dapoz</surname>
|
||||
<contrib>Gebaseerd op een bijdrage van </contrib>
|
||||
</author>
|
||||
</authorgroup>
|
||||
</sect1info>
|
||||
|
||||
<title><application>KerberosIV</application></title>
|
||||
|
||||
<para><application>Kerberos</application> is een netwerkdienst,
|
||||
protocol en systeem waarmee gebruikers zich kunnen aanmelden met
|
||||
behulp van een dienst op een veilige server. Diensten als op een
|
||||
andere server aanmelden, op afstand kopiëren, veilig tussen
|
||||
systemen kopiëren en andere taken met een hoog risico worden
|
||||
aanmerkelijk veiliger en beter controleerbaar.</para>
|
||||
|
||||
<para>De onderstaande instructies kunnen gebruikt worden als
|
||||
handleiding voor het opzetten van Kerberos op &os;. Voor een
|
||||
volledige beschrijving wordt verwezen naar de relevante
|
||||
handleidingen.</para>
|
||||
|
||||
<sect2>
|
||||
<title><application>KerberosIV</application> installeren</title>
|
||||
|
||||
<indexterm><primary>MIT</primary></indexterm>
|
||||
|
||||
<indexterm>
|
||||
<primary>KerberosIV</primary>
|
||||
|
||||
<secondary>installeren</secondary>
|
||||
</indexterm>
|
||||
|
||||
<para>Kerberos is een optioneel component van &os;. De meest
|
||||
eenvoudige manier om de software te installeren is het
|
||||
selecteren van de <literal>krb4</literal> of
|
||||
<literal>krb5</literal> distributie in
|
||||
<application>sysinstall</application> tijdens de initiële
|
||||
installatie van &os;. Hierdoor wordt de <quote>eBones</quote>
|
||||
(KerberosIV) of <quote>Heimdal</quote> (Kerberos5)
|
||||
implementatie van Kerberos geïnstalleerd. Deze
|
||||
implementaties zijn beschikbaar omdat ze ontwikkeld zijn buiten
|
||||
de VS/Canada en dus zijn ze beschikbaar voor systeemeigenaren
|
||||
buiten die landen in dit tijdperk waarin er beperkingen gelden
|
||||
ten aanzien van de export van coderingsprogramma's uit de
|
||||
VS.</para>
|
||||
|
||||
<para>Het is ook mogelijk te kiezen voor de MIT-implementatie van
|
||||
Kerberos via de Portscollectie: <filename
|
||||
role="package">security/krb5</filename>.</para>
|
||||
</sect2>
|
||||
|
||||
<sect2>
|
||||
<title>Maken van de initiële database</title>
|
||||
|
||||
<para>Dit hoeft alleen op de Kerberos gedaan te worden. Er
|
||||
dienen geen oude Kerberos databases rond te slingeren.
|
||||
Controleer in de map <filename
|
||||
class="directory">/etc/kerberosIV</filename> of de
|
||||
volgende bestanden aanwezig zijn:</para>
|
||||
|
||||
<screen>&prompt.root; <userinput>cd /etc/kerberosIV</userinput>
|
||||
&prompt.root; <userinput>ls</userinput>
|
||||
README krb.conf krb.realms</screen>
|
||||
|
||||
<para>Als er nog meer bestanden zijn (zoals
|
||||
<filename>principal.*</filename> of
|
||||
<filename>master_key</filename>), dan kan met het programma
|
||||
<command>kdb_destroy</command> de oude Kerberos database
|
||||
vernietigd worden of de overige bestanden kunnen verwijderd
|
||||
worden als Kerberos niet draait.</para>
|
||||
|
||||
<para>Nu moeten de bestanden <filename>krb.conf</filename> en
|
||||
<filename>krb.realms</filename> gewijzigd om de Kerberos wereld
|
||||
te definiëren. In dit geval heet de wereld
|
||||
<literal>EXAMPLE.COM</literal> en de server heet
|
||||
<hostid role="fqdn">grunt.example.com</hostid>. Wijzig of
|
||||
creëer het bestand <filename>krb.conf</filename>:</para>
|
||||
|
||||
<screen>&prompt.root; <userinput>cat krb.conf</userinput>
|
||||
EXAMPLE.COM
|
||||
EXAMPLE.COM grunt.example.com admin server
|
||||
CS.BERKELEY.EDU okeeffe.berkeley.edu
|
||||
ATHENA.MIT.EDU kerberos.mit.edu
|
||||
ATHENA.MIT.EDU kerberos-1.mit.edu
|
||||
ATHENA.MIT.EDU kerberos-2.mit.edu
|
||||
ATHENA.MIT.EDU kerberos-3.mit.edu
|
||||
LCS.MIT.EDU kerberos.lcs.mit.edu
|
||||
TELECOM.MIT.EDU bitsy.mit.edu
|
||||
ARC.NASA.GOV trident.arc.nasa.gov</screen>
|
||||
|
||||
<para>In dit geval hoeven de andere werelden er niet te zijn. Ze
|
||||
staan er als voorbeeld van hoe een machine attent gemaakt kan
|
||||
worden op het bestaan van meerdere werelden. In een eigen test
|
||||
kan ervoor gekozen worden ze weg te laten.</para>
|
||||
|
||||
<para>De eerste regel benoemt de wereld waarin het systeem
|
||||
opereert. De andere regels bevatten werelden/hosts. Het
|
||||
eerste deel van een regel bevat de wereld en het tweede deel is
|
||||
een host in die wereld die fungeert als <quote>sleutel
|
||||
distributiecentrum</quote>. De woorden <literal>admin
|
||||
server</literal> achter een hostnaam betekenen dat een host
|
||||
ook administratieve database server is. In de handleidingen
|
||||
van Kerberos wordt hierover meer uitleg gegeven.</para>
|
||||
|
||||
<para>Nu moet <hostid role="fqdn">grunt.example.com</hostid> aan
|
||||
de wereld <literal>EXAMPLE.COM</literal> toegevoegd worden en
|
||||
er moet ook een instelling gemaakt worden voor alle hosts uit
|
||||
het <hostid role="domainname">.example.com</hostid> domein in
|
||||
de wereld <literal>EXAMPLE.COM</literal>. Het bestand
|
||||
<filename>krb.realms</filename> dient dan als volgt gewijzigd
|
||||
te worden:</para>
|
||||
|
||||
<screen>&prompt.root; <userinput>cat krb.realms</userinput>
|
||||
grunt.example.com EXAMPLE.COM
|
||||
.example.com EXAMPLE.COM
|
||||
.berkeley.edu CS.BERKELEY.EDU
|
||||
.MIT.EDU ATHENA.MIT.EDU
|
||||
.mit.edu ATHENA.MIT.EDU</screen>
|
||||
|
||||
<para>Nogmaals: de andere werelden hoeven er niet te staan. Ze
|
||||
staan er als voorbeeld hoe een machine van het bestaan van
|
||||
andere werelden op de hoogte gebracht kan worden. Om het
|
||||
overzichtelijker te maken, kan mogen ze verwijderd
|
||||
worden.</para>
|
||||
|
||||
<para>De eerste regel plaatst het <emphasis>specifieke</emphasis>
|
||||
systeem in de genoemde wereld. De rest van de regels geeft aan
|
||||
hoe standaardsystemen uit een bepaald subdomein in een wereld
|
||||
plaatst worden.</para>
|
||||
|
||||
<para>Nu kan de database aangemaakt worden. Dit hoeft alleen op
|
||||
de Kerberos server gedaan te worden (of Sleutel Distributie
|
||||
Centrum) met het commando <command>kdb_init</command>:</para>
|
||||
|
||||
<screen>&prompt.root; <userinput>kdb_init</userinput>
|
||||
<prompt>Realm name [default ATHENA.MIT.EDU ]:</prompt> <userinput>EXAMPLE.COM</userinput>
|
||||
You will be prompted for the database Master Password.
|
||||
It is important that you NOT FORGET this password.
|
||||
|
||||
<prompt>Enter Kerberos master key:</prompt></screen>
|
||||
|
||||
<para>Nu moet de sleutel opgeslagen worden zodat diensten op de
|
||||
lokale machine er gebruik van kunnen maken met het commando
|
||||
<command>kstash</command>:</para>
|
||||
|
||||
<screen>&prompt.root; <userinput>kstash</userinput>
|
||||
|
||||
<prompt>Enter Kerberos master key:</prompt>
|
||||
|
||||
Current Kerberos master key version is 1.
|
||||
|
||||
Master key entered. BEWARE!</screen>
|
||||
|
||||
<para>Nu is de gecodeerde hoofdsleutel opgeslagen in
|
||||
<filename>/etc/kerberosIV/master_key</filename>.</para>
|
||||
</sect2>
|
||||
|
||||
<sect2>
|
||||
<title>Help het aan de praat</title>
|
||||
|
||||
<indexterm>
|
||||
<primary>KerberosIV</primary>
|
||||
|
||||
<secondary>eerste keer starten</secondary>
|
||||
</indexterm>
|
||||
|
||||
<para>Voor <emphasis>ieder</emphasis> systeem dat met Kerberos
|
||||
wordt beveiligd moeten twee principals worden aangemaakt. Die
|
||||
heten <literal>kpasswd</literal> en <literal>rcmd</literal>.
|
||||
Deze twee principals worden aangemaakt voor iedere systeem en
|
||||
de instantie is de naam van het systeem.</para>
|
||||
|
||||
<para>Deze daemons, <application>kpasswd</application> en
|
||||
<application>rcmd</application>, staan andere systemen toe om
|
||||
Kerberos wachtwoorden te wijzigen en commando's als
|
||||
&man.rcp.1;, &man.rlogin.1; en &man.rsh.1; uit te
|
||||
voeren.</para>
|
||||
|
||||
<para>Deze worden nu toegevoegd:</para>
|
||||
|
||||
<screen>&prompt.root; <userinput>kdb_edit</userinput>
|
||||
Opening database...
|
||||
|
||||
<prompt>Enter Kerberos master key:</prompt>
|
||||
|
||||
Current Kerberos master key version is 1.
|
||||
|
||||
Master key entered. BEWARE!
|
||||
Previous or default values are in [brackets] ,
|
||||
enter return to leave the same, or new value.
|
||||
|
||||
<prompt>Principal name:</prompt> <userinput>passwd</userinput>
|
||||
<prompt>Instance:</prompt> <userinput>grunt</userinput>
|
||||
|
||||
<Not found>, <prompt>Create [y] ?</prompt> <userinput>y</userinput>
|
||||
|
||||
Principal: passwd, Instance: grunt, kdc_key_ver: 1
|
||||
<prompt>New Password:</prompt> <---- hier RANDOM invoeren
|
||||
Verifying password
|
||||
|
||||
<prompt>New Password:</prompt> <---- hier RANDOM invoeren
|
||||
|
||||
<prompt>Random password [y] ?</prompt> <userinput>y</userinput>
|
||||
|
||||
Principal's new key version = 1
|
||||
<prompt>Expiration date (enter yyyy-mm-dd) [ 2000-01-01 ] ?</prompt>
|
||||
<prompt>Max ticket lifetime (*5 minutes) [ 255 ] ?</prompt>
|
||||
<prompt>Attributes [ 0 ] ?</prompt>
|
||||
Edit O.K.
|
||||
<prompt>Principal name:</prompt> <userinput>rcmd</userinput>
|
||||
<prompt>Instance:</prompt> <userinput>grunt</userinput>
|
||||
|
||||
<Not found>, <prompt>Create [y] ?</prompt>
|
||||
|
||||
Principal: rcmd, Instance: grunt, kdc_key_ver: 1
|
||||
<prompt>New Password:</prompt> <---- hier RANDOM invoeren
|
||||
Verifying password
|
||||
|
||||
<prompt>New Password:</prompt> <---- hier RANDOM invoeren
|
||||
|
||||
<prompt>Random password [y] ?</prompt>
|
||||
|
||||
Principal's new key version = 1
|
||||
<prompt>Expiration date (enter yyyy-mm-dd) [ 2000-01-01 ] ?</prompt>
|
||||
<prompt>Max ticket lifetime (*5 minutes) [ 255 ] ?</prompt>
|
||||
<prompt>Attributes [ 0 ] ?</prompt>
|
||||
Edit O.K.
|
||||
<prompt>Principal name:</prompt> <---- hier niks invoeren stopt het programma</screen>
|
||||
</sect2>
|
||||
|
||||
<sect2>
|
||||
<title>Aanmaken van het serverbestand</title>
|
||||
|
||||
<para>Nu moeten alle instanties die de diensten op iedere server
|
||||
definiëren geëxtraheerd worden. Dat kan met het
|
||||
commando <command>ext_srvtab</command>. Dit commando maakt een
|
||||
bestand aan dat <emphasis>veilig</emphasis> gekopieerd moet
|
||||
worden naar de map <filename class="directory">/etc</filename> van
|
||||
iedere Kerberos-cliënt. Dit bestand moet aanwezig zijn op iedere
|
||||
server en op iedere cliënt en is van doorslaggevend belang
|
||||
voor de werking van Kerberos.</para>
|
||||
|
||||
<screen>&prompt.root; <userinput>ext_srvtab grunt</userinput>
|
||||
<prompt>Enter Kerberos master key:</prompt>
|
||||
|
||||
Current Kerberos master key version is 1.
|
||||
|
||||
Master key entered. BEWARE!
|
||||
Generating 'grunt-new-srvtab'....</screen>
|
||||
|
||||
<para>Het bovenstaande commando maakt een tijdelijk bestand aan
|
||||
dat hernoemd moet worden naar <filename>srvtab</filename> zodat
|
||||
alle diensten erbij kunnen. Met &man.mv.1; kan het op de
|
||||
juiste plaats op het originele systeem gezet worden:</para>
|
||||
|
||||
<screen>&prompt.root; <userinput>mv grunt-new-srvtab srvtab</userinput></screen>
|
||||
|
||||
<para>Als het bestand voor een cliëntsysteem is en het
|
||||
netwerk is niet veilig, dan kan het bestand
|
||||
<filename><replaceable>client</replaceable>-new-srvtab</filename>
|
||||
dan naar een verwijderbaar medium gekopieerd worden en dan
|
||||
fysiek veilig getransporteerd worden. Op de cliënt dient
|
||||
het bestand <filename>srvtab</filename> te heten in de map <filename
|
||||
class="directory">/etc</filename> en in modus 600 te staan:</para>
|
||||
|
||||
<screen>&prompt.root; <userinput>mv grumble-new-srvtab srvtab</userinput>
|
||||
&prompt.root; <userinput>chmod 600 srvtab</userinput></screen>
|
||||
</sect2>
|
||||
|
||||
<sect2>
|
||||
<title>De database vullen</title>
|
||||
|
||||
<para>Nu moeten de gebruikers in de database. In dit voorbeeld
|
||||
wordt de gebruiker <username>jane</username> als eerste
|
||||
ingevoerd. Hiervoor is het commando
|
||||
<command>kdb_edit</command>:</para>
|
||||
|
||||
<screen>&prompt.root; <userinput>kdb_edit</userinput>
|
||||
Opening database...
|
||||
|
||||
<prompt>Enter Kerberos master key:</prompt>
|
||||
|
||||
Current Kerberos master key version is 1.
|
||||
|
||||
Master key entered. BEWARE!
|
||||
Previous or default values are in [brackets] ,
|
||||
enter return to leave the same, or new value.
|
||||
|
||||
<prompt>Principal name:</prompt> <userinput>jane</userinput>
|
||||
<prompt>Instance:</prompt>
|
||||
|
||||
<Not found>, <prompt>Create [y] ?</prompt> <userinput>y</userinput>
|
||||
|
||||
Principal: jane, Instance: , kdc_key_ver: 1
|
||||
<prompt>New Password:</prompt> <---- hier een veilig wachtwoord invullen
|
||||
Verifying password
|
||||
|
||||
<prompt>New Password:</prompt> <---- hier het wachtwoord nogmaals invoeren
|
||||
Principal's new key version = 1
|
||||
<prompt>Expiration date (enter yyyy-mm-dd) [ 2000-01-01 ] ?</prompt>
|
||||
<prompt>Max ticket lifetime (*5 minutes) [ 255 ] ?</prompt>
|
||||
<prompt>Attributes [ 0 ] ?</prompt>
|
||||
Edit O.K.
|
||||
<prompt>Principal name:</prompt> <---- hier niks invoeren stopt het programma</screen>
|
||||
</sect2>
|
||||
|
||||
<sect2>
|
||||
<title>Alles testen</title>
|
||||
|
||||
<para>Eerst moeten de Kerberos daemons gestart worden. Als de
|
||||
juiste wijziging in <filename>/etc/rc.conf</filename> zijn
|
||||
gemaakt, dan gebeurt dit automatisch na een herstart. Dit
|
||||
hoeft alleen ingesteld te worden op de Kerberos server.
|
||||
Kerberos cliënten vinden automatisch wat ze zoeken in de
|
||||
map <filename class="directory">/etc/kerberosIV</filename>.</para>
|
||||
|
||||
<screen>&prompt.root; <userinput>kerberos &</userinput>
|
||||
Kerberos server starting
|
||||
Sleep forever on error
|
||||
Log file is /var/log/kerberos.log
|
||||
Current Kerberos master key version is 1.
|
||||
|
||||
Master key entered. BEWARE!
|
||||
|
||||
Current Kerberos master key version is 1
|
||||
Local realm: EXAMPLE.COM
|
||||
&prompt.root; <userinput>kadmind -n &</userinput>
|
||||
KADM Server KADM0.0A initializing
|
||||
Please do not use 'kill -9' to kill this job, use a
|
||||
regular kill instead
|
||||
|
||||
Current Kerberos master key version is 1.
|
||||
|
||||
Master key entered. BEWARE!</screen>
|
||||
|
||||
<para>Nu kan kan er getest worden of met het commando
|
||||
<command>kinit</command> een ticket (kaartje) gekregen kan
|
||||
worden voor het ID <username>jane</username> dat net is
|
||||
aangemaakt:</para>
|
||||
|
||||
<screen>&prompt.user; <userinput>kinit jane</userinput>
|
||||
MIT Project Athena (grunt.example.com)
|
||||
Kerberos Initialization for "jane"
|
||||
<prompt>Password:</prompt> </screen>
|
||||
|
||||
<para>Met <command>klist</command> kan gecontroleerd worden of de
|
||||
tokens er echt zijn:</para>
|
||||
|
||||
<screen>&prompt.user; <userinput>klist</userinput>
|
||||
Ticket file: /tmp/tkt245
|
||||
Principal: jane@EXAMPLE.COM
|
||||
|
||||
Issued Expires Principal
|
||||
Apr 30 11:23:22 Apr 30 19:23:22 krbtgt.EXAMPLE.COM@EXAMPLE.COM</screen>
|
||||
|
||||
<para>Nu wordt het wachtwoord gewijzigd met &man.passwd.1; om
|
||||
te controleren of de <application>kpasswd</application> daemon
|
||||
autorisatie krijgt van de Kerberos database:</para>
|
||||
|
||||
<screen>&prompt.user; <userinput>passwd</userinput>
|
||||
realm EXAMPLE.COM
|
||||
<prompt>Old password for jane:</prompt>
|
||||
<prompt>New Password for jane:</prompt>
|
||||
Verifying password
|
||||
<prompt>New Password for jane:</prompt>
|
||||
Password changed.</screen>
|
||||
</sect2>
|
||||
|
||||
<sect2>
|
||||
<title><command>su</command> rechten toewijzen</title>
|
||||
|
||||
<para>Kerberos biedt mogelijkheid <emphasis>iedere</emphasis>
|
||||
gebruiker die <username>root</username>rechten nodig heeft zijn
|
||||
eigen <emphasis>afzonderlijke</emphasis> &man.su.1; wachtwoord
|
||||
te geven. Nu wordt een ID toegevoegd dat geautoriseerd is om
|
||||
&man.su.1; te gebruiken naar <username>root</username>. Dit
|
||||
wordt geregeld door een instantie van <username>root</username>
|
||||
te verbinden met een principal. Met
|
||||
<command>kdb_edit</command> kan <literal>jane.root</literal>
|
||||
gemaakt worden in de Kerberos database:</para>
|
||||
|
||||
<screen>&prompt.root; <userinput>kdb_edit</userinput>
|
||||
Opening database...
|
||||
|
||||
<prompt>Enter Kerberos master key:</prompt>
|
||||
|
||||
Current Kerberos master key version is 1.
|
||||
|
||||
Master key entered. BEWARE!
|
||||
Previous or default values are in [brackets] ,
|
||||
enter return to leave the same, or new value.
|
||||
|
||||
<prompt>Principal name:</prompt> <userinput>jane</userinput>
|
||||
<prompt>Instance:</prompt> <userinput>root</userinput>
|
||||
|
||||
<Not found>, Create [y] ? y
|
||||
|
||||
Principal: jane, Instance: root, kdc_key_ver: 1
|
||||
<prompt>New Password:</prompt> <---- hier een veilig wachtwoord invullen
|
||||
Verifying password
|
||||
|
||||
<prompt>New Password:</prompt> <---- hier nogmaals het wachtwoord invullen
|
||||
|
||||
Principal's new key version = 1
|
||||
<prompt>Expiration date (enter yyyy-mm-dd) [ 2000-01-01 ] ?</prompt>
|
||||
<prompt>Max ticket lifetime (*5 minutes) [ 255 ] ?</prompt> <userinput>12</userinput> <--- Keep this short!
|
||||
<prompt>Attributes [ 0 ] ?</prompt>
|
||||
Edit O.K.
|
||||
<prompt>Principal name:</prompt> <---- hier niks invullen stopt het programma</screen>
|
||||
|
||||
<para>Een lijst van de tokens kan bevestigen als alles werkt
|
||||
zoals verwacht:</para>
|
||||
|
||||
<screen>&prompt.root; <userinput>kinit jane.root</userinput>
|
||||
MIT Project Athena (grunt.example.com)
|
||||
Kerberos Initialization for "jane.root"
|
||||
<prompt>Password:</prompt></screen>
|
||||
|
||||
<para>Nu dient de gebruiker toegevoegd te worden aan het
|
||||
bestand <filename>.klogin</filename> van
|
||||
<username>root</username>:</para>
|
||||
|
||||
<screen>&prompt.root; <userinput>cat /root/.klogin</userinput>
|
||||
jane.root@EXAMPLE.COM</screen>
|
||||
|
||||
<para>Na een &man.su.1;:</para>
|
||||
|
||||
<screen>&prompt.user; <userinput>su</userinput>
|
||||
<prompt>Password:</prompt></screen>
|
||||
|
||||
<para>kan de lijst met tokens bekeken worden:</para>
|
||||
|
||||
<screen>&prompt.root; <userinput>klist</userinput>
|
||||
Ticket file: /tmp/tkt_root_245
|
||||
Principal: jane.root@EXAMPLE.COM
|
||||
|
||||
Issued Expires Principal
|
||||
May 2 20:43:12 May 3 04:43:12 krbtgt.EXAMPLE.COM@EXAMPLE.COM</screen>
|
||||
</sect2>
|
||||
|
||||
<sect2>
|
||||
<title>Andere commando's gebruiken</title>
|
||||
|
||||
<para>In een eerder voorbeeld is een principal met de naam
|
||||
<literal>jane</literal> gemaakt met een instantie
|
||||
<literal>root</literal>. Dit was gebaseerd op een gebruiker met
|
||||
dezelfde naam als de principal en dit is de standaard binnen
|
||||
Kerberos: een
|
||||
<literal><principal>.<instantie></literal> in de
|
||||
vorm van <literal><gebruikersnaam>.</literal>
|
||||
<username>root</username> staat die
|
||||
<literal><gebruikersnaam></literal> het gebruik van
|
||||
&man.su.1; naar <username>root</username> toe als de benodigde
|
||||
instellingen in het bestand <filename>.klogin</filename> in de
|
||||
home directory van <username>root</username> zijn
|
||||
gemaakt:</para>
|
||||
|
||||
<screen>&prompt.root; <userinput>cat /root/.klogin</userinput>
|
||||
jane.root@EXAMPLE.COM</screen>
|
||||
|
||||
<para>Zo werkt het ook als een gebruiker in zijn eigen home
|
||||
directory iets als volgt heeft opgenomen:</para>
|
||||
|
||||
<screen>&prompt.user; <userinput>cat ~/.klogin</userinput>
|
||||
jane@EXAMPLE.COM
|
||||
jack@EXAMPLE.COM</screen>
|
||||
|
||||
<para>Hierdoor mag iedereen die zich in de wereld
|
||||
<literal>EXAMPLE.COM</literal> heeft geautenticeerd als
|
||||
<username>jane</username> of <username>jack</username> (via
|
||||
<command>kinit</command>, zie boven) bij
|
||||
<username>jane</username>'s account of de bestanden op dit
|
||||
systeem (<hostid>grunt</hostid>) met &man.rlogin.1;,
|
||||
&man.rsh.1; of &man.rcp.1;.</para>
|
||||
|
||||
<para>Nu meldt bijvoorbeeld <username>jane</username> zich aan
|
||||
op een ander systeem met Kerberos:</para>
|
||||
|
||||
<screen>&prompt.user; <userinput>kinit</userinput>
|
||||
MIT Project Athena (grunt.example.com)
|
||||
<prompt>Password:</prompt>
|
||||
&prompt.user; <userinput>rlogin grunt</userinput>
|
||||
Last login: Mon May 1 21:14:47 from grumble
|
||||
Copyright (c) 1980, 1983, 1986, 1988, 1990, 1991, 1993, 1994
|
||||
The Regents of the University of California. All rights reserved.
|
||||
|
||||
FreeBSD BUILT-19950429 (GR386) #0: Sat Apr 29 17:50:09 SAT 1995</screen>
|
||||
|
||||
<para>Of <username>jack</username> meldt zich aan op
|
||||
<username>jane</username>'s account op dezelfde machine
|
||||
(<username>jane</username> heeft het bestand
|
||||
<filename>.klogin</filename> ingesteld zoals hierboven en de
|
||||
beheerder van Kerberos heeft een principal
|
||||
<emphasis>jack</emphasis> aangemaakt zonder instantie):</para>
|
||||
|
||||
<screen>&prompt.user; <userinput>kinit</userinput>
|
||||
&prompt.user; <userinput>rlogin grunt -l jane</userinput>
|
||||
MIT Project Athena (grunt.example.com)
|
||||
<prompt>Password:</prompt>
|
||||
Last login: Mon May 1 21:16:55 from grumble
|
||||
Copyright (c) 1980, 1983, 1986, 1988, 1990, 1991, 1993, 1994
|
||||
The Regents of the University of California. All rights reserved.
|
||||
FreeBSD BUILT-19950429 (GR386) #0: Sat Apr 29 17:50:09 SAT 1995</screen>
|
||||
</sect2>
|
||||
</sect1>
|
||||
|
||||
<sect1 id="kerberos5">
|
||||
<sect1info>
|
||||
<authorgroup>
|
||||
|
|
@ -2250,16 +1724,6 @@ FreeBSD BUILT-19950429 (GR386) #0: Sat Apr 29 17:50:09 SAT 1995</screen>
|
|||
|
||||
<title><application>Kerberos5</application></title>
|
||||
|
||||
<para>Iedere &os; uitgave hoger dan &os;-5.1 bevat alleen
|
||||
ondersteuning voor <application>Kerberos5</application>. Daarom
|
||||
is <application>Kerberos5</application> de enige versie die erbij
|
||||
zit. De instellingen zijn op veel gebieden gelijk aan die van
|
||||
<application>KerberosIV</application>. De nu volgende informatie
|
||||
geldt alleen voor &os;-5.0 uitgaven en verder. Gebruikers die
|
||||
het pakket <application>KerberosIV</application> willen
|
||||
gebruiken kunnen dat installeren uit de
|
||||
<filename role="package">security/krb4</filename> port.</para>
|
||||
|
||||
<para><application>Kerberos</application> is een netwerkdienst,
|
||||
protocol en systeem waarmee gebruikers zich kunnen aanmelden
|
||||
met behulp van een dienst op een veilige server. Diensten als
|
||||
|
|
@ -3110,7 +2574,7 @@ kadmind5_server_enable="YES"</programlisting>
|
|||
autenticatie van mailcliënten, webgebaseerde transacties als
|
||||
creditcardbetalingen en nog veel meer. Veel ports zoals
|
||||
<filename role="package">www/apache13-ssl</filename> en
|
||||
<filename role="package">mail/sylpheed-claws</filename>
|
||||
<filename role="package">mail/claws-mail</filename>
|
||||
bieden tijdens het compileren ondersteuning om
|
||||
<application>OpenSSL</application> in te bouwen.</para>
|
||||
|
||||
|
|
@ -4312,8 +3776,8 @@ user@unfirewalled-system.example.org's password: <userinput>*******</userinput><
|
|||
|
||||
<title>Bestandssysteem toegangscontrolelijsten</title>
|
||||
|
||||
<para>In combinatie met verbeteringen als snapshots, bieden
|
||||
&os; 5.0 en volgende versies de veiligheid van
|
||||
<para>In combinatie met verbeteringen als snapshots, biedt
|
||||
&os; de veiligheid van
|
||||
Toegangscontrolelijsten voor Bestandssystemen (Access Control
|
||||
Lists, <acronym>ACL</acronym>s).</para>
|
||||
|
||||
|
|
|
|||
Loading…
Reference in a new issue