Delegieren statt kapitulieren – mit gssproxy zum sicheren Datenexport

Zentrale Fileserver bedienen allzu gerne noch ihre Linux-Clients über NFS- und SMB-Verbindungen mit fragwürdigem Sicherheitsniveau. Andernorts längst selbstverständliche Funktionen wie starke Authentisierung oder Transportverschlüsselung sind in den Protokollen zwar verfügbar, führen in der Praxis aber zu Schwierigkeiten in Multi-User-Umgebungen, vor allem bei nicht-interaktiven Zugriffen auf den Datenbestand.

Der Vortrag zeigt, wie Kerberos-Delegation im Verbund mit dem Dienst gssproxy für typische Umgebungen eine alltagstaugliche Lösung liefert. In einer praxisnahen Beispielumgebung werden die wesentlichen Konfigurationsschritte vorgestellt und demonstriert.

Vorkenntnisse

• Eine persönliche Leidensgeschichte mit Netzwerk-Dateisystemen (NFS, SMB) in größeren Umgebungen ist von Vorteil fürs Verständnis. Es geht aber auch ohne.
  
• Kerberos-Grundkenntnisse sind ebenfalls hilfreich, aber auch nicht zwingend erforderlich.

Lernziele

Fortgeschrittene Methoden zur Kerberos-Delegation sind ein wesentliches, aber wenig bekanntes Konzept in integrierten Umgebungen zur Benutzerverwaltung wie Active Directory, Samba oder FreeIPA. Der Vortrag vermittelt die nötigen Grundlagen, um die damit verbundenen Sicherheitsabwägungen zu treffen und Delegation in Verbindung mit NFS und SMB auf Linux-Clients zu nutzen.