Ensure krb5.conf does not permit DES, 3DES or RC4 encryption types

HochStufe 1Automatisiertkerberos

Beschreibung

permitted_enctypes, default_tkt_enctypes and default_tgs_enctypes in /etc/krb5.conf control which session and ticket enctypes the KDC host and its clients negotiate. The audit fails if any of them names a des, des3, rc4 or arcfour type.

So wird geprüft

Prüfmethode: Dateimuster

Datei: /etc/krb5.conf
Muster: (?mi)^\s*(permitted_enctypes|default_tkt_enctypes|default_tgs_enctypes)\s*=.*(des|rc4|arcfour)

So wird behoben

Behebungsmethode: Anleitung oder Infrastruktur-Patch

In [libdefaults] of /etc/krb5.conf remove weak types or set permitted_enctypes = aes256-cts-hmac-sha1-96 aes128-cts-hmac-sha1-96 (plus aes256-cts-hmac-sha384-192 aes128-cts-hmac-sha256-128 where supported). Verify that all clients and services have AES keys before deploying.

Eigenschaften

Betriebssysteme: Beliebig
Tags: kerberoscrypto
Referenz: CIS MIT Kerberos / Linux Benchmark guidance - Strong Kerberos encryption types (verify section number for your release)

Diesen Host prüfen

Führen Sie dies auf einem Rechner aus, den Sie prüfen dürfen. Der Scan ist schreibgeschützt.

shell

tmaegis scan --target kerberos