Как пароль зашифрован в файл keytab?

Question

Я использую файлы keytab для Linux-систем для аутентификации служб с помощью kerberos. Мне интересно, как этот пароль фактически хранится в этом файле keytab. Как мы знаем в/etc/passwd, пароли сохраняются после применения метода одностороннего хеширования - поэтому невозможно вычислить из него пароль открытого текста.

Но как это делается в файле keytab? Процесс с использованием keytab каким-то образом должен знать пароль для аутентификации пользователя ?! Зашифрован ли он мастер-паролем, чтобы его можно было расшифровать?

Я использую это, чтобы создать файл Keytab:

$ ktutil 
ktutil: addent -password -p my_user@MYREALM -k 1 -e rc4-hmac 
Password for my_user@MYREALM: 
ktutil: wkt my_user.keytab 
ktutil: quit 

С этой Keytab я могу получить KRBTGT без ввода пароля. При создании keytab связь с AD/KDC отсутствует (поэтому нет общего секрета, который можно было бы добавить для подписания или что-то еще).

Так как же пароль зашифрован в keytab? Если это не хэширующий алгоритм - можно ли его расшифровать?

Answer 1

В общем пароле на основе ключ Kerberos, происходит от применения алгоритма конкретных ключевой функции выведения к пользовательскому паролю, и использует пользователь основного имя в виде соли (так что два главных с тот же пароль не будет иметь тот же ключ). Используемые фактические функции деривации ключа определены в RFC 3961 и RFC 3962 , однако профиль RC4 определен в другом месте (от Microsoft).

Ключевой вывод - это односторонняя функция, поэтому невозможно «расшифровать» ключ.