Konfiguration des Kerberos-Authentifizierungsprotokolls

Kerberos-Authentifizierung ist eine sichere und weit verbreitete Methode zur Überprüfung der Identität von Benutzern in verteilten Netzwerken. Sie ermöglicht eine gegenseitige Verifizierung – bei der sowohl der Benutzer als auch der Dienst die Legitimität des jeweils anderen bestätigen – ohne Passwörter im Klartext zu übertragen.

Was ist Kerberos-Authentifizierung?

Dieses Protokoll, das am MIT entwickelt wurde, verwendet verschlüsselte Tickets, um Benutzer auf sichere und skalierbare Weise zu authentifizieren. Es ist insbesondere in Unternehmens-IT-Systemen verbreitet, einschließlich Windows Active Directory, Single Sign-On (SSO) und hybriden Cloud-Umgebungen.

Im Gegensatz zu grundlegenden Authentifizierungsprotokollen setzt Kerberos nicht auf die Übertragung von Anmeldeinformationen über das Netzwerk. Stattdessen greift es auf einen vertrauenswürdigen Dritten, das sogenannte Key Distribution Center (KDC), zurück, der sitzungsbasierte Token ausgibt.

Die gesamte Kommunikation wird mit symmetrischer Verschlüsselung durchgeführt, was Abhören und Replay-Angriffe verhindert. Dieses System eliminiert die Übertragung von Passwörtern im Klartext und ist somit wesentlich widerstandsfähiger gegen den Diebstahl von Zugangsdaten.

Warum es wichtig ist

Die Kerberos-Authentifizierung bildet das Sicherheitsrückgrat vieler unternehmensbezogener Zugangskontrollsysteme. Sie vereinfacht das Benutzermanagement, reduziert Risiken und ermöglicht echte Single Sign-On Abläufe – besonders wertvoll in großen, mehrschichtigen Architekturen.

Heutzutage unterstützt Kerberos moderne Sicherheitsmodelle in Active Directory, containerisierten Plattformen, cloud-nativen Anwendungen und CI/CD-Pipelines. Tools wie DataSunrise erzwingen Zugangskontrollen über Proxy-Dienste, die direkt mit Kerberos- und Active Directory-Richtlinien integriert sind.

Häufige Einschränkungen der Kerberos-Authentifizierung

Obwohl Kerberos die Sicherheit der Authentifizierung erheblich verbessert, bringt es einige betriebliche und architektonische Einschränkungen mit sich:

Wie die Kerberos-Authentifizierung funktioniert

Hier ist ein vereinfachter Ablauf:

1. Der Benutzer meldet sich an und fordert ein Ticket vom Authentication Server (AS) an.
2. Der AS validiert die Anfrage und gibt ein Ticket Granting Ticket (TGT) aus.
3. Das TGT wird an den Ticket Granting Server (TGS) gesendet, um Zugriff auf einen bestimmten Dienst anzufordern.
4. Der TGS stellt ein Serviceticket aus, das der Benutzer an den Zielserver sendet.
5. Der Dienst entschlüsselt das Ticket, validiert die Sitzung und gewährt den Zugriff.

Während dieses Prozesses werden geteilte Schlüssel und Sitzungstoken verwendet, anstatt Passwörter zu übertragen. Dies verhindert das Abfangen von Paketen, mindert Spoofing und ermöglicht eine gegenseitige Authentifizierung.

Moderne Anwendungsfälle

Die Kerberos-Authentifizierung entwickelt sich stetig weiter. Sie treibt an:

• Unternehmensweites SSO für Webanwendungen, mobile Geräte und VPNs
• Sicheren Datenbankzugriff über Authentifizierungsproxies wie DataSunrise
• Domänenübergreifende Föderation und Identitätsvermittlung
• Zero-Trust-Netzwerkmodelle in hybriden Clouds
• Automatisierte DevOps-Workflows mit Delegation von Zugangsdaten

Konfiguration und Integration

Die Einrichtung von Kerberos erfordert die Integration von Verzeichnisdiensten (z. B. Active Directory), Client-Tools (wie Keytab-Generatoren) und die korrekte Konfiguration über die Systeme hinweg. Hier eine kurze Übersicht:

1. Active Directory Benutzerkonfiguration

• Erstellen oder identifizieren Sie einen AD-Benutzer mit einem permanenten Passwort ohne Ablaufdatum.
• Weisen Sie relevante SPNs (Service Principal Names) zu, indem Sie ktpass oder setspn verwenden.

2. Erzeugen von Keytab-Dateien

Verwenden Sie das Tool ktpass, um Keytab-Einträge zu generieren. Diese werden verschlüsselt gespeichert und von Diensten für ticketbasierte Authentifizierung verwendet. Beispiel:

ktpass /princ [email protected] /mapuser user1_backend /pass P@ssword123 \
/crypto all /ptype KRB5_NT_PRINCIPAL /out datasunrise.keytab -setupn

3. Konfiguration von Linux-Clients

Installieren Sie die erforderlichen Pakete und bearbeiten Sie die Datei /etc/krb5.conf, um Domain-, KDC- und Realm-Einstellungen widerzuspiegeln. Stellen Sie sicher, dass keine auskommentierten Zeilen mit dem Symbol # vorhanden sind.

4. Integration des Kerberos-Proxys

DataSunrise kann als Authentifizierungsproxy fungieren. Es unterstützt sowohl Windows-basierte als auch Linux-Umgebungen unter Verwendung von Kerberos und ermöglicht so eine sichere Zugangskontrolle über verschiedene Dienste und Datenbanken hinweg.

5. Konfiguration auf Windows-Basis

Verwenden Sie setspn, um MSSQL SPNs zu registrieren:

setspn -A MSSQLSvc/proxy-host:proxy-port proxy-host
setspn -L proxy-host

Verwenden Sie select auth_scheme from sys.dm_exec_connections where session_id=@@spid, um die MSSQL-Authentifizierung zu überprüfen. Falls erforderlich, führen Sie eine Fehlerbehebung anhand des SSPI-Leitfadens von Microsoft durch.

Sicherheitsvorteile

Kerberos schützt vor:

• Passwort-Sniffing im Netzwerk
• Replay-Angriffen mittels Sitzungstoken
• Unbefugten Anmeldungen von nicht vertrauenswürdigen Endpunkten

Es ermöglicht außerdem zeitlich begrenzte Authentifizierungssitzungen, delegiertes Vertrauen und Revisionssicherheit – entscheidend für die Einhaltung von GDPR, HIPAA und SOX.

Überprüfung der Kerberos-Authentifizierung mit PostgreSQL

Sobald Kerberos konfiguriert ist und Ihr Service Principal registriert wurde, können Sie überprüfen, ob die Authentifizierung korrekt funktioniert, indem Sie psql auf einem Linux-Client verwenden. Das folgende Beispiel demonstriert eine sichere Anmeldung, ohne dass Sie zur Eingabe eines Passworts aufgefordert werden:

# Zunächst ein gültiges TGT (Ticket Granting Ticket) anfordern
kinit [email protected]

# Bestätigen, dass das Ticket ausgestellt wurde
klist

# Verbindung zu PostgreSQL über Kerberos herstellen
psql "host=db.domain.com port=5432 dbname=exampledb user=user1_backend sslmode=prefer gssencmode=prefer"

Bei Erfolg wird die Verbindung ohne Passwortabfrage hergestellt – was bestätigt, dass die Kerberos-Authentifizierung aktiv ist und das Sitzungsticket gültig ist.

Stellen Sie sicher, dass PostgreSQL mit GSSAPI-Unterstützung kompiliert wurde und in der pg_hba.conf eine entsprechende Eintragung vorhanden ist, wie beispielsweise:

# Aktivieren der GSSAPI-basierten Authentifizierung
host    all     all     0.0.0.0/0       gss include_realm=1 krb_realm=DOMAIN.COM

Diese Konfiguration stellt sicher, dass Ihre PostgreSQL-Datenbank die Kerberos-Authentifizierung respektiert und sichere, kennwortlose Anmeldungen durchsetzt – ideal für Sicherheitsanforderungen auf Unternehmensebene und zentralisierte Zugangskontrollen.

Fazit

Kerberos-Authentifizierung ist eine zuverlässige, standardbasierte Lösung für das sichere Identitätsmanagement in Unternehmensumgebungen. Wird sie korrekt implementiert, stärkt sie die Zugangskontrolle, vereinfacht die Einhaltung von Vorschriften und reduziert das Risiko durch das Benutzen von Zugangsdaten.

DataSunrise unterstützt die Funktionalität von sicheren Authentifizierungsproxies und integriert sich nahtlos in Kerberos-Umgebungen – sowohl vor Ort als auch in der Cloud. Fordern Sie eine Demo an, um zu erfahren, wie Sie die Kerberos-basierte Authentifizierung auf Ihre kritischen Datenbankressourcen ausdehnen können.