home *** CD-ROM | disk | FTP | other *** search
/ NetNews Usenet Archive 1992 #19 / NN_1992_19.iso / spool / comp / protocol / kerberos / 666 < prev    next >
Encoding:
Text File  |  1992-09-03  |  1.8 KB  |  47 lines
  1. Newsgroups: comp.protocols.kerberos
  2. Path: sparky!uunet!stanford.edu!ksr.com!dean
  3. From: dean@ksr.com
  4. Subject: Re: New User Accounts
  5. Message-ID: <199209032054.AA05377@magrathea.ksr.com>
  6. Sender: news@shelby.stanford.edu (USENET News System)
  7. Organization: Internet-USENET Gateway at Stanford University
  8. Date: Thu, 3 Sep 1992 20:54:10 GMT
  9. Lines: 36
  10.  
  11. Yes, the scheme would require an /etc/srvtab.  I don't see how to  
  12. avoid this, unless the kerberos server knows the securID algorithm.   
  13. This is difficult for us, as we would need to buy source to the  
  14. securID server software.  
  15.  
  16.  
  17. This definitely suffers from the problem of a compromised  
  18. workstation.  I don't think it changes the situation however, because  
  19. if a workstation is compromised, the login program can be changed to  
  20. steal the users password, or the tickets can be stolen after they are  
  21. obtained.
  22.  
  23. The securID code is a combination of a user chosen PIN, and a 6 or 8  
  24. digit changing code, combining to form a minimum of a 10 or 12 digit  
  25. number.  I think this is unreasonable to crack by force in a short (8  
  26. hour max for V4) time period.  Though perhaps it is not.  If the PIN  
  27. is known, the user can definitely be cracked.
  28.  
  29. Even so, a TGT or a new random key could be sent back over the  
  30. existing secure channel.  By sending a key rather than a TGT, I can  
  31. easily configure accounts with passwords and accounts with SecurID  
  32. cards, without having the client software aware of which is actually  
  33. used.  Also, the kerberos server and libraries don't need to be  
  34. modified.
  35.  
  36. Also, SecurID code replay can be avoided by keeping a cache of  
  37. recently used SecurID codes, and insuring that they are only used  
  38. once.  Now, one only needs to worry about the users tickets being  
  39. stolen should the workstation be compromised.  
  40.  
  41.  
  42.             --Dean
  43.  
  44. Dean Anderson
  45. KSR Computing Facilities
  46. Kendall Square Research
  47.