Network File System (NFS) a kryptografie

Sdílení souboru pomocí Network File System (NFS) sice v současnosti podporuje kryptografii, ale vždy tomu tak nebylo. Navíc je nutné si uvědomit, jakým způsobem je kryptografie implementována, co má za význam. Řeší ochranu důvěrnosti dat, jejich neměnnosti (integrity), nebo je v jádru autentizačních mechanismů? Zodpovědět tyto otázky není jednoduché. NFS je začal řešit až v pokročilých verzích okolo roku 2000. Z těchto důvodů je hlavními problémy ochrana celistvosti (integrity) a důvěrnosti (confidentiality). Uvedené problémy mají řešení, ale je nutné zbavit se starých verzí, které uvedenou funkcionalitu nepodporují.

Historie a vlastnosti

Původní NFS vznikl okolo roku 1983 ve vývojovém oddělení společnosti SUN a měl zajišťovat sdílení souborů napříč různými systémy. Zlé jazyky tvrdí, že NFS je zkratka No File Security a u prvních verzí to tak rozhodně platilo.

S příchodem NFSv4 ale bezpečnost dostala vyšší prioritu. Přestože zpočátku nebyl k dispozici nový šifrovací standard, byl použit alespoň algoritmus DES, později došlo k přidání dalších algoritmů. Šifrování bylo navázáno na protokol Kerberos. NFS sice lehce ustoupilo z pozice majoritní platformy, ale stále se jedná o důležitý protokol. Je podporován na *NIX systémech, různých sdílených diskových úložištích, proto je důležité znát omezení a zajistit odpovídající nastavení. Níže je uveden přehled jednotlivých NFS verzí a jejich funkcionalit.

Podpora kryptografie

Zajištění šifrování a kontroly integrity používá algoritmus zvolený při vyjednávání pomocí Kerberos protokolu. NFS podporuje pro zajištění ochrany vyjednávání pouze tento způsob. Vyjednané mechanismy pak umožňují určit algoritmus pro šifrování dat a kryptografický kontrolní součet, kde podpora pro jednotlivé algoritmy je uvedena v následující tabulce.

Podpora na straně serveru - Kerberos

Start NFS na straně serveru se zajištěnou ochranou vyžaduje fungující Kerberos, nejlépe navázaný na nějaký LDAP systému pro autentizaci. Protože v současnosti je nejpoužívanějším LDAP systémem Active Directory, je vhodné využít tento systém a zajistit centrální správu uživatelů.

Úvodní konfigurace

Pro konfiguraci na straně serveru je nutné nahrát sadu instalačních balíčků, v tomto případě pro debian-based distribuce:
# apt install realmd krb5-user adcli sssd samba-common nfs-kernel-server gssproxy -y

Soubor /etc/krb5.conf musí obsahovat:
[libdefaults]
  default_realm = NFS.Domain
  dns_lookup_realm = false
  dns_lookup_kdc = false
  ticket_lifetime = 24h
  renew_lifetime = 7d
  forwardable = true
  allow_weak_crypto= false
  default_tkt_enctypes = aes256-cts-hmac-sha1-96

[realms]
  NFS.DOMAIN = {
    kdc = ADServerName.NFS.Domain
    admin_server = ADServerName.NFS.Domain
    default_domain = nfs.domain
  }

[domain_realm]
.NFS.Domain = NFS.Domain
NFS.Domain = NFS.Domain

Kde položka ADServerName je název Active Directory serveru a NFS.Domain je název domény ve které je NFS poskytováno. Díky NSS může být doménou např. DNS doména. V rámci konfigurace je možné definovat i typ požadovaného šifrování, kde AD v tuto chvíli podporuje pouze RC4 a AES-CTS s kontrolou integrity pomocí SHA1 (ještě ke všemu oříznutou ze 160 bitů na 96 bitů). Uvedení požadovaného šifrování ale může být v rozporu s definovanou politikou, v takovém případě nebude možné se připojit.

Soubor /etc/nfs.conf musí obsahovat:
[gssd]
use-gss-proxy=1

Soubor /etc/default/nfs-common musí obsahovat:
NEED_GSSD="yes"

Dále je potřeba z prostředí shellu zadat následující příkazy pro inicializaci prostřetí:
# kinit Administrator
# realm discover NFS.Domain
# realm join --user-principal=linuxnfsuser/ThisMachineFQDN@NFS.Domain NFS.Domain

Pro NFS server je nutno zadat
# realm join --user-principal=linuxnfsuser/kerberos-nfsserver.NFS.Domain@NFS.Domain NFS.Domain

Pro NFS klienta je nutno zadat
# realm join --user-principal=linuxnfsuser/kerberos-nfsclient.NFS.Domain@NFS.Domain NFS.Domain

Konfigurace DNS záznamů a SPN

Pro správnou funkčnost je nutné přidat odpovídající záznamy pro NFS server (kerberos-nfsserver) a pro NFS klienta (kerberos-nfsclient). V tomto případě jsou tyto záznamy na adresách 192.168.1.10 a 192.168.1.11, musí odkazovat do NS domény NFS.Domain.
# Add-DnsServerResourceRecordA -CreatePtr -Name kerberos-nfsserver -IPv4Address 192.168.1.10 -ZoneName NFS.Domain
# Add-DnsServerResourceRecordA -CreatePtr -Name kerberos-nfsclient -IPv4Address 192.168.1.11 -ZoneName NFS.Domain

Dále je potřeba nastavit Service Principal Name (servisního uživatele) pro NFS:
# setspn -S linuxnfsuser/ThisMachineFQDN kerberos-nfsserver
# setspn -S linuxnfsuser/ThisMachineFQDN kerberos-nfsclient

# setspn -L kerberos-nfsserver
# setspn -L kerberos-nfsclient

Tím je dokončena konfigurace DNS záznamů a SPN, dále je možné pokračovat s konfigurací NFS serveru a NFS klienta.

Konfigurace na straně NFS serveru

Protože máme spojený Linux s Active Directory pomocí Kerberos a vytvořené SPN, je možné začít konfigurovat vlastní NFS server pro poskytování sdílení.

Soubor /etc/exports musí obsahovat pro sdílení složky /nfsshare následující definice:
/nfsshare gss/krb5p(rw,sync)

Kde u nastavení kryptografické ochrany platí následující přenos šifrovacích sad z Kerberos ticketu:
- krb5: Autentizace
- krb5i: Autentizace a integrita
- krb5p: Autentizace, integrita a šifrování

Z příkazové řádky je následně nutné znovu spustit služby pro NFS:
# service rpc-gssd restart
# service gssproxy restart
# service nfs-kernel-server restart
# /etc/init.d/nfs-common restart

Konfigurace NFS klienta:

Po nastavení NFS serveru a poskytnutí sdílené složky je možné dovolit klientu připojení k NFS serveru. To vyžaduje následující sérii úprav:
# apt install nfs-common gssproxy -y

V souboru /etc/nfs.conf je potřeba nastavit:
use-gss-proxy=1

V souboru /etc/default/nfs-common je potřeba nastavit:
NEED_GSSD="yes"

V souboru /etc/gssproxy/99-nfs-client.conf je potřeba nastavit:
[service/nfs-server]
  mechs = krb5
  socket = /run/gssproxy.sock
  cred_store = keytab:/etc/krb5.keytab
  cred_store = ccache:FILE:/var/lib/gssproxy/clients/krb5cc_%U
  cred_store = client_keytab:/var/lib/gssproxy/clients/%U.keytab
  cred_usage = initiate
  allow_any_uid = yes
  trusted = yes
  kernel_nfsd = yes
  euid = 0

Následně je třeba restartovat služby spojené s poskytováním funkce NFS klienta:
# service rpc-gssd restart
# service gssproxy restart
# /etc/init.d/nfs-common restart

A konečně je možné připojit složku ze strany serveru:
# mount -t nfs4 -o sec=krb5p kerberos-nfsserver.nfs.domain:/nfsshare /mnt

Pokud je potřeba na straně uživatele zajistit automatizaci obnovy Kerberos tokenů, je možné v souboru .profile zadat příkaz, který uvedenou službu zajistí:
/usr/bin/kinit KRB-CLT$ -t /etc/krb5.keytab

Podobné články

16. 9. 2024

Sdílení souborů protokolem SMB a kryptografie

27. 9. 2024

Algoritmy odolné kvantovým počítačům

8. 10. 2024

Ukládání hesel pomocí Crypt interface

22. 10. 2024

Autentizace ke sdíleným složkám využívajících protokol SMB