sec=krb5 で NFSv4 経由でエクスポートされた共有が、悪意のあるクライアントが共有をマウントし、ユーザーを偽装して不正なファイルにアクセスすることから暗号化によって保護されているかどうかについて、矛盾する記述を読みました。
例えば、ここそのような声明が 1 つあります。
[Kerberos 認証 NFS のコンテキストでは] ... NFSv4 では、どのユーザーがファイルにアクセスしているかをクライアントが正直に報告することに依存しています (数値の UID ではなく、アルファベットのログイン ID を使用します)。
そしてここ矛盾した記述があります:
RPCSEC_GSS Kerberos メカニズムを使用すると、AUTH_SYS の場合のように、サーバーはどのユーザーがファイルにアクセスしているかを正しく表すためにクライアントに依存する必要がなくなります。代わりに、暗号化を使用してサーバーに対してユーザーを認証し、悪意のあるクライアントがユーザーの Kerberos 資格情報を持たないユーザーになりすますことを防ぎます。
NFSv4 ファイル アクセスに関する実際の状況はどうですか?
答え1
sec=sys 認証は、クライアント上のユーザーの uid 番号がサーバー上のファイルの uid 番号と一致するかどうかに完全に依存します。ルート アクセス権を持つユーザーが別のユーザーになりすますのは簡単です。
sec=krb5 では、ユーザーはクライアントだけでなく kdc に対して認証する必要があるため、ローカル管理者がユーザーになりすますことが難しくなります。ただし、これは完全ではないため、Kerberos レルムに登録されているクライアント マシンは「信頼できる」ものと見なされます。たとえば、NFSv4 共有が認証されたユーザーによって正しくマウントされると、クライアントのルートは「su」を介して共有にアクセスできるようになります (クライアントにキャッシュされている tgt にもアクセスできる可能性があります)。
訂正していただけると嬉しいです (そして、krb NFS をよりよく理解している方からのご意見を聞きたいです) - これは、限られたテストからの私の観察結果です。