Требования
к рабочему окружению
Протокол Kerberos налагает
несколько требований на рабочее окружение, в котором он может эффективно работать:
|
|
Kerberos не противодействует
атакам типа "отказ в обслуживании". Особенности протокола Kerberos позволяют
злоумышленнику заставить приложение не принимать, участие в процессе аутентификации.
Обнаружение и борьба с атаками этого типа (часть которых может проявляться
в установлении необычных режимов работы программного обеспечения), как правило,
лучше всего выполняются администраторами систем.
|
|
|
Партнеры по обмену
данными должны хранить свои секретные ключи в надежном месте. Если злоумышленник
каким-либо образом похитит секретный ключ, он сможет выдать себя за одного
из партнеров или имперсонализировать сервер для законного клиента.
|
|
|
Kerberos не противодействует
атакам типа "подбор пароля". Если пользователь задает легко угадываемый
пароль, злоумышленник с большой ве-ро'ятностью может его определить подбором
с применением словаря.
|
|
|
Каждый хост сети должен
иметь часы, которые приблизительно синхронизируются с часами других хостов.
Синхронизация необходима, чтобы было легче обнаружить факт передачи копии
заранее перехваченного сообщения. Степень приблизительности синхронизации
может быть установлена индивидуально для каждого сервера. Сам протокол синхронизации
серверов сети должен быть защищен от атак злоумышленников.
|
|
|
Идентификаторы партнеров
не могут быть повторно использованы через небольшой промежуток времени.
Как правило, для управления доступом применяются
списки управления доступом
(Access Control List, ACL), в которых хранятся разрешения доступа, предоставленные
всем партнерам по обмену данными. Если в базе данных списков управления
доступом остался список уничтоженного партнера по обмену данными, идентификатор
которого используется вторично, то новый партнер унаследует все права доступа
уничтоженного партнера. Избежать подобной опасности можно, только если запретить
использование идентификаторов уничтоженных партнеров в течение продолжительного
времени, а лучше вообще сделать идентификаторы уникальными.
|
Содержание раздела
|