Делает "Kerberised" NFSv4, надежно защищают от злонамеренного клиента, имитирующего пользователя
Я считал конфликтующие операторы о том, защищены ли доли, экспортируемые через NFSv4 с sec=krb5 криптографически, от злонамеренного клиента, монтирующего долю и затем имитирующего пользователя для получения доступа к несанкционированным файлам.
Например, здесь у нас есть один такой оператор:
[В контексте аутентифицируемого в Kerberos NFS]... NFSv4 все еще полагается на клиент для честного создания отчетов, какой пользователь получает доступ к файлам (теперь использующий алфавитное, в которое входят, а не числовой UID).
И здесь у нас есть противоречащий оператор:
С механизмом Kerberos RPCSEC_GSS сервер больше не зависит от клиента для корректного представления, какой пользователь получает доступ к файлу, как имеет место с AUTH_SYS. Вместо этого это использует криптографию для аутентификации пользователей на сервере, препятствуя тому, чтобы злонамеренный клиент исполнил роль пользователя, не имея что kerberos учетные данные пользователя.
Каково реальное положение дел относительно доступа к файлу NFSv4?
sec = sys авторизация полностью зависит от uidnumber пользователя на клиенте, совпадающего с номером файла на сервере. Для кого-то с root-доступом легко замаскироваться под другого пользователя.
sec = krb5 требует, чтобы пользователь аутентифицировался на kdc (а не только на клиенте), что усложняет локальному администратору выдавать себя за пользователя. ОДНАКО, он не является пуленепробиваемым, и клиентский компьютер, зарегистрированный в области Kerberos, считается «доверенным». Скажем, общий ресурс NFSv4 правильно смонтирован аутентифицированным пользователем - тогда корень клиента имеет доступ к общему ресурсу через «su» (и, возможно, их tgt, который теперь кэшируется на клиенте).
Я рад, что меня исправили. (и хотел бы услышать от кого-то, кто лучше разбирается в krb NFS) - это мое наблюдение из ограниченного тестирования.