Eu li declarações conflitantes sobre se os compartilhamentos exportados via NFSv4 com sec=krb5 são protegidos criptograficamente contra um cliente mal-intencionado montando o compartilhamento e falsificando o usuário para obter acesso a arquivos não autorizados.
Por exemplo,aquitemos uma dessas declarações:
[No contexto do NFS autenticado por Kerberos] ... O NFSv4 ainda depende do cliente para relatar honestamente qual usuário está acessando os arquivos (agora usando o loginID alfabético em vez do UID numérico).
Eaquitemos uma afirmação contraditória:
Com o mecanismo RPCSEC_GSS Kerberos, o servidor não depende mais do cliente para representar corretamente qual usuário está acessando o arquivo, como é o caso do AUTH_SYS. Em vez disso, ele usa criptografia para autenticar usuários no servidor, evitando que um cliente mal-intencionado se faça passar por um usuário sem ter as credenciais Kerberos desse usuário.
Qual é a situação real em relação ao acesso a arquivos NFSv4?
Responder1
A autorização sec=sys depende inteiramente do número uid de um usuário no cliente que corresponde ao do arquivo no servidor. É trivial para alguém com acesso root se disfarçar como outro usuário.
sec=krb5 exige que o usuário se autentique no kdc (não apenas no cliente), tornando mais difícil para um administrador local se passar por um usuário. NO ENTANTO, não é à prova de balas e uma máquina cliente inscrita no domínio Kerberos é considerada "confiável". Digamos que um compartilhamento NFSv4 seja montado corretamente por um usuário autenticado - o root do cliente terá acesso ao compartilhamento via "su" (e possivelmente ao seu tgt, que agora está armazenado em cache no cliente).
Estou feliz por ser corrigido (e gostaria de ouvir alguém com um melhor entendimento do krb NFS) - esta é minha observação em testes limitados.