Ensure krb5.conf does not permit DES, 3DES or RC4 encryption types

AltaNivel 1Automatizadakerberos

Descripción

permitted_enctypes, default_tkt_enctypes and default_tgs_enctypes in /etc/krb5.conf control which session and ticket enctypes the KDC host and its clients negotiate. The audit fails if any of them names a des, des3, rc4 or arcfour type.

Cómo se verifica

Método de auditoría: Patrón de archivo

Archivo: /etc/krb5.conf
Patrón: (?mi)^\s*(permitted_enctypes|default_tkt_enctypes|default_tgs_enctypes)\s*=.*(des|rc4|arcfour)

Cómo se corrige

Método de corrección: Guía o parche de infraestructura

In [libdefaults] of /etc/krb5.conf remove weak types or set permitted_enctypes = aes256-cts-hmac-sha1-96 aes128-cts-hmac-sha1-96 (plus aes256-cts-hmac-sha384-192 aes128-cts-hmac-sha256-128 where supported). Verify that all clients and services have AES keys before deploying.

Propiedades

Sistemas operativos: Cualquiera
Etiquetas: kerberoscrypto
Referencia: CIS MIT Kerberos / Linux Benchmark guidance - Strong Kerberos encryption types (verify section number for your release)

Verificar este host

Ejecute esto en un equipo que tenga permiso para auditar. El escaneo es de solo lectura.

shell

tmaegis scan --target kerberos