Bash/perl脚本来验证kerberos校长密码

Question

我想写一个脚本，通过参数和密码通过stdin接受用户名。我希望脚本联系kerberos服务器并验证密码。我打算使用它通过auth-check触发器来验证perforce用户。尽管bash和perl已经安装在相关的（centos 5）系统上，但我并不拘泥于任何特定的语言。

任何提示/建议将不胜感激。

感谢，

芬斯特

Answer 1

只需在google上搜索pwauth即可。它可以配置为使用pam接口验证系统密码。看起来它的设计考虑到了apache，但应该适用于任何可编写脚本的情况。本周试着设置它。当我试过时会报告回来。

注意您的系统帐户存在风险，因此该链接会首先引导您进入风险页面。

Answer 2

这Perforce的文章一些有用的链接开始。

http://kb.perforce.com/article/74

我想的Kerberos保存到您验证机器上一票，所以也许Perforce公司的SSO框架会更好。看看这个项目：

http://www.assembla.com/spaces/sso-p4/wiki

Answer 3

注意有效验证密码，需要的不仅仅是做更多的kinit（一个AS交换）。这对KDC欺骗攻击是开放的：攻击者给你一个密码，然后将你的KDC请求重定向到他自己的KDC，这说明密码是OK。

通常的防范方法是验证者拥有自己的服务主体;它会激发用户的委托人，然后使用获得的TGT获取其自己的委托人的服务票证并验证该票证。这确保了它正在与同一个KDC通话。