如何將密碼加密到密鑰表文件中？

Question

我在Linux系統上使用keytab文件來驗證使用kerberos的服務。 我想知道這個密碼是如何實際存儲到該keytab文件中的。 正如我們在/ etc / passwd中所知，密碼是在應用單向散列方法后存儲的 - 因此無法從中計算明文密碼。

但是如何在keytab文件中完成？ 使用keytab的進程必須知道密碼才能驗證用戶？！ 它是否使用主密碼加密，因此可以解密？

我用它來創建一個keytab文件：

$ ktutil
ktutil:  addent -password -p my_user@MYREALM -k 1 -e rc4-hmac
Password for my_user@MYREALM:
ktutil:  wkt my_user.keytab
ktutil:  quit

使用該keytab，我可以在不輸入密碼的情況下獲得krbtgt。 創建密鑰表時，無法與AD / KDC進行通信（因此沒有可用於簽名的共享密鑰或其他內容）。

那么如何將密碼加密到keytab中？ 如果它不是哈希算法 - 是否可以解密它？

Answer 1

通常，基於密碼的Kerberos密鑰來自將特定於算法的密鑰派生函數應用於用戶提供的密碼，並使用用戶主體名稱作為salt（因此具有相同密碼的兩個主體將不具有相同的密鑰）。 使用的實際密鑰派生函數在RFC 3961和RFC 3962中定義，但RC4配置文件在別處（由Microsoft）定義。

密鑰派生是單向函數，因此沒有可行的方法來“解密”密鑰。