Исходное сообщение
"Apple опубликовал Pkl, язык программирования для определения..." Отправлено OpenEcho, 06-Фев-24 14:29
> Пароль вообще не должен храниться. Нигде. Даже на сервере. Или в оперативной памяти. Хранится может лишь результат криптографической функции от него. Сурово. Правильно. Но... Главное ведь результат и имея доступ к keytab, любознательный с успехом может попросить Керберос авторизацию и получить ее, что есть то же самое что и иметь в наличии пароль. > А keytab это будет или какой-то токен - уже не столь важно. Для того, чтобы контролировать пермишины, ОСЬ сервера сервирующая что либо, должна хранить где-то флажок, "можно/не можно" и как он взведется - пофиг, напрямую паролем или обмазыванием в керберос - не важно. Тоже самое и с сервисами нуждающимися в авторизации. Керберос (или что то другое) просто защищает содержимое оригинального пароля от запущеного сервиса, не более, но сервис то получил в итоге то, что ему нужно - разрешение. С токенами/керберосом удобно управлять кластерами, базара нет, централизованно, - можно/нельзя, но если взять на рассмотрение одинокий сервак, а не всю ферму, то все сводится к секьюрности ОСи т.к. что пароль, что авторизация от стороннего сервиса - ничего не меняет, пофиг что стащить, hash из keytab-a или hashicorp vault доступ или банальный пароль, главное то результат - "можно", поэтому: > А keytab это будет или какой-то токен ИЛИ ПАРОЛЬ - уже не столь важно.

Ваше сообщение
Имя*:
EMail:	Для отправки ответов на email укажите знак ! перед адресом, например, [email protected] (!! - не показывать email). Более тонкая настройка отправки ответов производится в профиле зарегистрированного участника форума.
Заголовок*:
Сообщение*:	>> Пароль вообще не должен храниться. Нигде. Даже на сервере. Или в оперативной памяти. Хранится может лишь результат криптографической функции от него. > Сурово. Правильно. Но... Главное ведь результат и имея доступ к keytab, любознательный > с успехом может попросить Керберос авторизацию и получить ее, что есть > то же самое что и иметь в наличии пароль. >> А keytab это будет или какой-то токен - уже не столь важно. > Для того, чтобы контролировать пермишины, ОСЬ сервера сервирующая что либо, должна хранить > где-то флажок, "можно/не можно" и как он взведется - пофиг, напрямую > паролем или обмазыванием в керберос - не важно. Тоже самое и > с сервисами нуждающимися в авторизации. Керберос (или что то другое) просто > защищает содержимое оригинального пароля от запущеного сервиса, не более, но сервис > то получил в итоге то, что ему нужно - разрешение. С > токенами/керберосом удобно управлять кластерами, базара нет, централизованно, - можно/нельзя, > но если взять на рассмотрение одинокий сервак, а не всю ферму, > то все сводится к секьюрности ОСи т.к. что пароль, что авторизация > от стороннего сервиса - ничего не меняет, пофиг что стащить, hash > из keytab-a или hashicorp vault доступ или банальный пароль, главное то > результат - "можно", поэтому: >> А keytab это будет или какой-то токен ИЛИ ПАРОЛЬ - уже не столь важно.
	Введите код, изображенный на картинке: