Quale cifra viene utilizzata su NFS crittografato?

Question

Per la protezione di NFS (Network File System), l'opzione di montaggio krb5p può essere utilizzata per crittografare tutto il traffico tra il file server e il client NFS. L'autenticazione e lo scambio di chiavi si basano su Kerberos. Ecco un esempio su come configurarlo per Debian: https://wiki.debian.org/NFS/Kerberos

Sfortunatamente, non sembra esserci alcun modo per configurare il codice utilizzato per questa trascrizione del trasporto. Quale cifra viene utilizzata e come può essere configurata, selezionata o applicata?

Answer 1

Senza aver utilizzato NFSv4 con Kerberos ma utilizzato in molti altri luoghi, si fa riferimento alla riservatezza fornita da GSS-API tramite Kerberos implementata con gss_wrap(3)/gss_unwrap(3). Fornisce una qualità di parametro di protezione, ma sono abbastanza certo che NFSv4 lascerà null => a discrezione del meccanismo.

In ogni caso, dato che GSS-API completamente astrae dal meccanismo, probabilmente non hai scelta ma puoi comunque fare qualcosa al riguardo. Abilita nel tuo KDC almeno RC4, al meglio AES128 e AES256. Le implementazioni useranno il miglior codice disponibile. È possibile eseguire la scansione del traffico tra il client e TGS (TGS-REQ e TGS-REP), client e server (NFS) per vedere quale tipo di crittografia è stato negoziato e verrà utilizzato per il wrapping/unwrapping. Puoi sempre leggere gli RFC come ho fatto, ma ci vorrà molto tempo per capire.

Spero che questo aiuti. Ovviamente, potrei sbagliare completamente riguardo agli interni di NFSv4.

Ho appena scavato e sono abbastanza certo ora che la mia analisi è corretta. RFC 7530, chapter 3.2.1 parla della privacy obbligatoria di Kerberos 5 per krb5p nonché di AES insieme a HMAC-SHA1. Ulteriori letture portano allo RFC 2203 (specifiche RPCSEC_GSS) che parla di gss_wrap/gss_unwrap.