加密NFS使用什么密码？

Question

加密NFS使用什么密码？

kerberosnfsnfsclient

6

为了保护NFS（网络文件系统）的安全性，可以使用挂载选项krb5p来加密文件服务器和NFS客户端之间的所有流量。身份验证和密钥交换基于Kerberos。

以下是如何在Debian上配置的示例：https://wiki.debian.org/NFS/Kerberos 不幸的是，似乎没有办法配置用于此传输加密的密码。使用哪种密码以及如何配置、选择或强制执行它？

- Black

请查看我的更新答案。 - Michael-O

1个回答

网页内容由stack overflow 提供, 点击上面的

可以查看英文原文，
原文链接

- Michael-O · Accepted Answer

如果您没有使用过带有Kerberos的NFSv4，但在许多其他地方使用过它，那么您所提到的机密性是通过实现gss_wrap(3)/gss_unwrap(3)的Kerberos提供的GSS-API提供的。它提供了一种保护质量参数，但我相当确定NFSv4会将其留空=>由机制自行决定。

无论如何，鉴于GSS-API完全抽象出机制，您可能别无选择，但仍然可以采取一些措施。至少在您的KDC中启用RC4，最好启用AES128和AES256。实现将使用最佳可用密码。您可以扫描客户端和TGS（TGS-REQ和TGS-REP）、客户端和服务器（NFS）之间的流量，以查看已经协商了哪种加密类型，并且这将高度用于包装/解包。您总是可以像我一样阅读RFCs，但这需要很长时间才能理解。

希望这可以帮到您。当然，我可能完全错误地理解了NFSv4内部。

我进行了一些调查，现在非常确定我的分析是正确的。 RFC 7530，第3.2.1章谈到了Kerberos 5强制隐私的 krb5p，以及AES和HMAC-SHA1。进一步阅读引导至 RFC 2203（RPCSEC_GSS规范），其中讨论了 gss_wrap/gss_unwrap。