He leído declaraciones contradictorias sobre si los recursos compartidos exportados a través de NFSv4 con sec=krb5 están protegidos criptográficamente contra un cliente malintencionado que monta el recurso compartido y luego suplanta al usuario para obtener acceso a archivos no autorizados.
Por ejemplo,aquítenemos una de esas declaraciones:
[En el contexto de NFS autenticado por Kerberos]... NFSv4 todavía depende del cliente para informar honestamente qué usuario está accediendo a los archivos (ahora usando el ID de inicio de sesión alfabético en lugar del UID numérico).
Yaquítenemos una afirmación contradictoria:
Con el mecanismo RPCSEC_GSS Kerberos, el servidor ya no depende del cliente para representar correctamente qué usuario está accediendo al archivo, como es el caso con AUTH_SYS. En cambio, utiliza criptografía para autenticar a los usuarios en el servidor, evitando que un cliente malintencionado se haga pasar por un usuario sin tener las credenciales Kerberos de ese usuario.
¿Cuál es la situación actual con respecto al acceso a archivos NFSv4?
Respuesta1
La autorización sec=sys depende completamente del número de uid de un usuario en el cliente que coincida con el del archivo en el servidor. Es trivial que alguien con acceso root se haga pasar por otro usuario.
sec=krb5 requiere que el usuario se autentique en el kdc (no solo en el cliente), lo que dificulta que un administrador local se haga pasar por un usuario. SIN EMBARGO, no es a prueba de balas y una máquina cliente inscrita en el ámbito kerberos se considera "confiable". Digamos que un usuario autenticado monta correctamente un recurso compartido NFSv4: la raíz del cliente tiene acceso al recurso compartido a través de "su" (y posiblemente a su tgt, que ahora está almacenado en caché en el cliente).
Estoy feliz de que me corrijan (y me gustaría saber de alguien con una mejor comprensión de krb NFS). Esta es mi observación de pruebas limitadas.