Я установил главный сервер FreeIPA, включая Kerberos. Кроме того, у меня есть один клиентский сервер, зарегистрированный в FreeIPA, для тестирования функции PKINIT Kerberos. Все серверы работают на CentOS7. Во FreeIPA существует тестовый пользователь, и этот пользователь также указан в единственной существующей области при использовании list_principals
в kadmin
как testuser@REALMNAME.
getprinc testuser
также дает Attributes: REQUIRES_PRE_AUTH
.
Я создал сертификаты kdc и клиента строго в соответствии с документацией: https://web.mit.edu/kerberos/www/krb5-latest/doc/admin/pkinit.html. Они были подписаны моим собственным CA, сертификат которого также присутствует на клиенте и мастере.
Конфигурация [области] на мастере выглядит следующим образом:
[realms]
TEST.INTERN = {
kdc = XXX:88
master_kdc = XXX:88
admin_server = XXX:749
default_domain = test.intern
pkinit_anchors = FILE:/etc/krb/ca.pem
pkinit_identity = FILE:/etc/krb/kdc.pem,/etc/krb/kdckey.pem
allow_pkinit = yes
module = pkinit:/usr/lib64/krb5/plugins/preauth/pkinit.so
}
где XXX является полным доменным именем главного сервера. Кроме того, клиент настроен следующим образом:
[realms]
TEST.INTERN = {
kdc = XXX:88
master_kdc = XXX:88
admin_server = XXX:749
kpasswd_server = XXX:464
default_domain = test.intern
pkinit_anchors = FILE:/etc/krb/ca.pem
pkinit_identities = FILE:/etc/krb/client.pem,/etc/krb/clientkey.pem
}
Насколько я знаю, я должен выполнить kinit testuser
на клиенте, чтобы получить билет Kerberos без ввода пароля.
К сожалению, выполнение env KRB5_TRACE=/dev/stdout kinit -V testuser
дает:
[2988] 1614772826.172614: Getting initial credentials for [email protected]
[2988] 1614772826.172616: Sending unauthenticated request
[2988] 1614772826.172617: Sending request (170 bytes) to TEST.INTERN
[2988] 1614772826.172618: Resolving hostname XXX
[2988] 1614772826.172619: Initiating TCP connection to stream XXX_IP:88
[2988] 1614772826.172620: Sending TCP request to stream XXX_IP:88
[2988] 1614772826.172621: Received answer (298 bytes) from stream XXX_IP:88
[2988] 1614772826.172622: Terminating TCP connection to stream XXX_IP:88
[2988] 1614772826.172623: Response was from master KDC
[2988] 1614772826.172624: Received error from KDC: -1765328359/Additional pre-authentication required
[2988] 1614772826.172627: Preauthenticating using KDC method data
[2988] 1614772826.172628: Processing preauth types: PA-PK-AS-REQ (16), PA-PK-AS-REP_OLD (15), PA-PK-AS-REQ_OLD (14), PA-FX-FAST (136), PA-ETYPE-INFO2 (19), PA-PKINIT-KX (147), PA-ENC-TIMESTAMP (2), PA-FX-C
OKIE (133)
[2988] 1614772826.172629: Selected etype info: etype aes256-cts, salt ""@0.X)+A92ZBJ*5T", params ""
[2988] 1614772826.172630: Received cookie: MIT
[2988] 1614772826.172631: Preauth module pkinit (147) (info) returned: 0/Success
[2988] 1614772826.172632: PKINIT loading CA certs and CRLs from FILE
[2988] 1614772826.172633: PKINIT client computed kdc-req-body checksum 9/80ADD1F631A328C4895D0B822F96608C303E6743
[2988] 1614772826.172635: PKINIT client making DH request
[2988] 1614772826.172636: Preauth module pkinit (16) (real) returned: 0/Success
[2988] 1614772826.172637: Produced preauth for next request: PA-FX-COOKIE (133), PA-PK-AS-REQ (16)
[2988] 1614772826.172638: Sending request (3475 bytes) to TEST.INTERN
[2988] 1614772826.172639: Resolving hostname XXX
[2988] 1614772826.172640: Initiating TCP connection to stream XXX_IP:88
[2988] 1614772826.172641: Sending TCP request to stream XXX_IP:88
[2988] 1614772826.172642: Received answer (167 bytes) from stream XXX_IP:88
[2988] 1614772826.172643: Terminating TCP connection to stream XXX_IP:88
[2988] 1614772826.172644: Response was from master KDC
[2988] 1614772826.172645: Received error from KDC: -1765328318/Certificate mismatch
kinit: Certificate mismatch while getting initial credentials
Главный сервер подтверждает это. /var/log/krb5kdc.log дает:
Mar 03 13:01:10 XXX krb5kdc[80746](info): Doing certauth authorize for [[email protected]]
Mar 03 13:01:10 XXX krb5kdc[80746](info): Got cert filter [(userCertificate;binary=...
Mar 03 13:01:10 XXX krb5kdc[80746](info): No matching entry found
Mar 03 13:01:10 XXX krb5kdc[80746](info): preauth (pkinit) verify failure: Certificate mismatch
На данный момент я действительно не знаю, почему происходит этот сбой. Сертификаты были созданы строго в соответствии с документацией, указанной выше. При проверке сертификатов с openssl asn1parse -in certificate.pem -strparse OFFSET
с соответствующим смещением я получаю для раздела SubjectAltName, othername:
openssl asn1parse -dump -in ../client/client.pem -strparse 815
0:d=0 hl=2 l= 48 cons: SEQUENCE
2:d=1 hl=2 l= 46 cons: cont [ 0 ]
4:d=2 hl=2 l= 6 prim: OBJECT :1.3.6.1.5.2.2
12:d=2 hl=2 l= 36 cons: cont [ 0 ]
14:d=3 hl=2 l= 34 cons: SEQUENCE
16:d=4 hl=2 l= 13 cons: cont [ 0 ]
18:d=5 hl=2 l= 11 prim: GENERALSTRING
0000 - 54 45 53 54 2e 49 4e 54-45 52 4e TEST.INTERN
31:d=4 hl=2 l= 17 cons: cont [ 1 ]
33:d=5 hl=2 l= 15 cons: SEQUENCE
35:d=6 hl=2 l= 3 cons: cont [ 0 ]
37:d=7 hl=2 l= 1 prim: INTEGER :01
40:d=6 hl=2 l= 8 cons: cont [ 1 ]
42:d=7 hl=2 l= 6 cons: SEQUENCE
44:d=8 hl=2 l= 4 prim: GENERALSTRING
0000 - 74 65 73 74 75 73 65 72 testuser
для клиентского сертификата и
openssl asn1parse -dump -in kdc.pem -strparse 832
0:d=0 hl=2 l= 63 cons: SEQUENCE
2:d=1 hl=2 l= 61 cons: cont [ 0 ]
4:d=2 hl=2 l= 6 prim: OBJECT :1.3.6.1.5.2.2
12:d=2 hl=2 l= 51 cons: cont [ 0 ]
14:d=3 hl=2 l= 49 cons: SEQUENCE
16:d=4 hl=2 l= 13 cons: cont [ 0 ]
18:d=5 hl=2 l= 11 prim: GENERALSTRING
0000 - 54 45 53 54 2e 49 4e 54-45 52 4e TEST.INTERN
31:d=4 hl=2 l= 32 cons: cont [ 1 ]
33:d=5 hl=2 l= 30 cons: SEQUENCE
35:d=6 hl=2 l= 3 cons: cont [ 0 ]
37:d=7 hl=2 l= 1 prim: INTEGER :02
40:d=6 hl=2 l= 23 cons: cont [ 1 ]
42:d=7 hl=2 l= 21 cons: SEQUENCE
44:d=8 hl=2 l= 6 prim: GENERALSTRING
0000 - 6b 72 62 74 67 74 krbtgt
52:d=8 hl=2 l= 11 prim: GENERALSTRING
0000 - 54 45 53 54 2e 49 4e 54-45 52 4e TEST.INTERN
для сертификата kdc
В настоящее время я совсем не понимаю, почему это не работает.
PS: я заменил полное доменное имя главного сервера на XXX, а его IP-адрес на XXX_IP.