Ensure krb5.conf does not permit DES, 3DES or RC4 encryption types

CaoCấp 1Tự độngkerberos

Mô tả

permitted_enctypes, default_tkt_enctypes and default_tgs_enctypes in /etc/krb5.conf control which session and ticket enctypes the KDC host and its clients negotiate. The audit fails if any of them names a des, des3, rc4 or arcfour type.

Cách kiểm tra

Phương pháp kiểm tra: Mẫu tệp

Tệp: /etc/krb5.conf
Mẫu khớp: (?mi)^\s*(permitted_enctypes|default_tkt_enctypes|default_tgs_enctypes)\s*=.*(des|rc4|arcfour)

Cách khắc phục

Phương pháp khắc phục: Hướng dẫn hoặc bản vá hạ tầng

In [libdefaults] of /etc/krb5.conf remove weak types or set permitted_enctypes = aes256-cts-hmac-sha1-96 aes128-cts-hmac-sha1-96 (plus aes256-cts-hmac-sha384-192 aes128-cts-hmac-sha256-128 where supported). Verify that all clients and services have AES keys before deploying.

Thuộc tính

Hệ điều hành: Bất kỳ
Thẻ: kerberoscrypto
Tham chiếu: CIS MIT Kerberos / Linux Benchmark guidance - Strong Kerberos encryption types (verify section number for your release)

Kiểm tra máy này

Chạy lệnh này trên máy bạn được phép kiểm tra. Lần quét chỉ ở chế độ đọc.

shell

tmaegis scan --target kerberos