home *** CD-ROM | disk | FTP | other *** search
/ NetNews Usenet Archive 1992 #19 / NN_1992_19.iso / spool / comp / protocol / kerberos / 655 < prev    next >
Encoding:
Text File  |  1992-09-02  |  1.8 KB  |  50 lines
  1. Newsgroups: comp.protocols.kerberos
  2. Path: sparky!uunet!stanford.edu!ksr.com!dean
  3. From: dean@ksr.com
  4. Subject: Re: New User Accounts
  5. Message-ID: <199209022202.AA04565@magrathea.ksr.com>
  6. Sender: news@shelby.stanford.edu (USENET News System)
  7. Organization: Internet-USENET Gateway at Stanford University
  8. Date: Wed, 2 Sep 1992 22:02:34 GMT
  9. Lines: 39
  10.  
  11. Actually, I don't have to change the kerberos server (or kerberos  
  12. libraries) at all.
  13.  
  14. I only need to add some code in the login program and the kinit  
  15. program to talk to the kerberos-securID server before it attempts to  
  16. get tickets for the principal.  (And of course implement the  
  17. kerberos-securID server, but most of whats needed is in kadmind.)
  18.  
  19. As far as distinguishing between accounts which use securID and  
  20. accounts which don't, this isn't a problem, since kerberos still  
  21. works the same as it always did.  
  22.  
  23.  
  24. It will send the password (securely) to the kerberos-SecurID server,  
  25. which would not be able authenticate the password, and so wouldn't  
  26. change the password (private key).  
  27.  
  28.  
  29. Hence when the principal gets the initial tickets from the kerberos  
  30. server, he would be able to decrypt them successfully using his  
  31. password.  It would be a good idea to keep a list of those which do  
  32. not use (or those which do use) SecurID to prevent false messages  
  33. about authentication failures.
  34.  
  35. The problem of reauthentication is definitely a tough one, though it  
  36. is mostly due to the fact that kerberized rlogin and telnet do not  
  37. allow you to dynamically turn encryption on and off.  (It would go  
  38. away if all rlogin/telnet sessions were encrypted, but this is  
  39. unfortunately impractical).
  40.  
  41. Having a modem (or machine on the modem) which did kerberos is  
  42. definitely a good idea, but it still suffers from reauthentication  
  43. problem.
  44.  
  45.         --Dean
  46.  
  47. Dean Anderson
  48. KSR Computing Facilities
  49. Kendall Square Research
  50.