TMA-KERBEROS-ALLOW-WEAK-CRYPTO
Ensure allow_weak_crypto is not enabled
ÉlevéeNiveau 1Automatiséekerberos
Description
allow_weak_crypto = true in /etc/krb5.conf re-enables single-DES and export-grade enctypes that MIT disables by default. The audit fails if the setting is true/yes/1.
Méthode de vérification
Méthode d'audit: Motif de fichier
- Fichier
/etc/krb5.conf- Motif
(?mi)^\s*allow_weak_crypto\s*=\s*(true|yes|1|on)\b
Méthode de correction
Méthode de correction: Modification de fichier
- Fichier
/etc/krb5.conf- Ligne de remplacement
allow_weak_crypto = false
Propriétés
- Systèmes d'exploitation
- Tous
- Étiquettes
- kerberoscrypto
- Référence
- CIS MIT Kerberos / Linux Benchmark guidance - Strong Kerberos encryption types (verify section number for your release)
Vérifier cet hôte
Exécutez cette commande sur une machine que vous êtes autorisé à auditer. L'analyse est en lecture seule.
shell
tmaegis scan --target kerberos