#kerberos — Public Fediverse posts
Live and recent posts from across the Fediverse tagged #kerberos, aggregated by home.social.
-
Windows w praktyce: zjawisko korozji domeny, czyli dlaczego istotne błędy często nie mają swojego identyfikatora CVE
Obecność sztucznej inteligencji w świecie technologii można obserwować na każdym kroku. Pomaga ona w tworzeniu oprogramowania, przyspieszaniu i usprawnianiu prac. Warto zwrócić też uwagę na trend szybkości wyszukiwania i łatania podatności przez producentów, czego przykładem może być Google czy Microsoft. Przyglądając się liczbie łatanych podatności, można zaobserwować rosnący trend –...
#Aktualności #Teksty #Certipy #Checkpoint #Cve #Kerberos #LDAP #Ntl #Smb #Szkolenie #Windows
-
Termidesk Connect: переписываем сценарии балансировки для российского бизнеса
Привет, Хабр! Меня зовут Ильнар Зайнуллин, я системный инженер в К2Тех. В этой статье хочу показать, как Termidesk Connect ведет себя в реальных сценариях балансировки – от «одного белого IP» до защищенной почты на MS Exchange.
https://habr.com/ru/companies/k2tech/articles/1066492/
#балансировщик #open_source #OSS #балансировка_нагрузки #reverse_proxy #Kerberos #exchange #nginx #haproxy #termidesk
-
Архитектура под замену: чему нас научил переход с OIDC на Kerberos
Нужно было заменить OIDC на Kerberos при внедрении платформы в облако заказчика. Простая замена не сработала: пользовательский контекст и межсервисные вызовы оказались плотно завязаны на OIDC. В статье рассказываю, как мы искали компромиссное решение, пересматривали границы между бизнес-логикой и инфраструктурой и довели проект до приемки без полной переработки платформы. Что пошло не так
https://habr.com/ru/companies/cloud_ru/articles/1065624/
#Kerberos #OIDC #JWT #IAM #микросервисы #аутентификация #токены #архитектура #облако
-
Подробная инструкция по настройке Squid 7.5 (Squid proxy, krb+ldap auth, ssl-bump, log in JSON, delay, cache)
Настраивали когда-нибудь Squid? Если да, то вы точно знаете: чтобы всё заработало как надо, приходится лазить по десятку сайтов, форумов и старых гайдов. Кто-то пишет про SSL, кто-то про кэш, кто-то про авторизацию — и всё в разных местах, с разными версиями Для кого эта статья: - Для тех, кто хочет настроить Squid быстро. - Для тех, кто устал искать кусочки информации по всему интернету. - Для тех, кто ценит своё время и любит, когда «работает с первого раза». Эта статья — попытка собрать всё важное в одном месте…
-
Apache Kerby, the Java implementation of Kerberos, shipped a fix for CVE-2026-57915: an authentication bypass where an attacker could skip pre-authentication by sending PA-DATA with an unrecognized or unsupported type. The severity is rated important, and the fix is in Kerby 2.1.2. How many Kerberos stacks silently accept PA-DATA types they do not understand, and how many of those are known to operators?
#Kerberos #security -
Как мы забыли согласовать порты и просрочили запуск важного проекта
При внедрении инфраструктурного решения часто кажется, что всё сводится к одному простому действию: открыть доступ к веб-интерфейсу. На первый-третий расчитайсь! Сервер – рас. Администратор – два. URL – три! Открыли HTTPS 443 – значит, можно запускаться. На практике с решениями, которые работают с Linux-каталогом, такой подход всё одно, что бить палкой крапиву. Веб-интерфейс – это только точка управления. Само решение не живёт в вакууме: ему нужно обращаться к контроллерам домена, LDAP-каталогу, Kerberos/KDC, DNS, NTP. И это не пожелания, а обязательная сетевая связность, без которой сервис просто не работает – даже если страница в браузере открывается. Именно поэтому при согласовании с ИБ важно приносить не просьбу «дайте доступ к серверу, сколько не жалко», а схему сетевых взаимодействий. История реальная Проект – Linux-каталог на 600 пользователей. Крайний срок – конец квартала. Мы сделали всё: Linux-каталог развёрнут, тестирование прошло, дата запуска согласована, рубашки заправлены. За день до старта звонит ИБ: «А где схема сетевых взаимодействий?». Схемы нет. Я думал: ну HTTPS же открыли – чего ещё надо? Как оказалось – надо всё остальное. И вот почему. Формально доступ к веб-морде есть. Админ может зайти, логин-пароль ввести. Но само решение не может выполнить ни одной задачи. В каталог ему не пролезть. LDAPS не согласован. Kerberos – только в наших мечтах. DNS – «ну он же работает», но в заявке нет... Я сижу и тупо смотрю на экран. Консоль открыта. Пользователей добавить нельзя.
https://habr.com/ru/articles/1046666/
#linux #ldap #kerberos #activedirectory #aldpro #freeipa #информационнаябезопасность #сетеваяинфраструктура #системноеадминистрирование #внедрение
-
「NTLM」の廃止、「Kerberos」への移行は第2フェイズへ ～Microsoftが発表／「IAKerb」「LocalKDC」が今月にもCanaryチャネルでパブリックプレビュー
https://forest.watch.impress.co.jp/docs/news/2115339.html#forest_watch_impress #Windows_11 #NTLM #Kerberos #IAKerb #LocalKDC #セキュリティ #Windows #インターネット #ネットワーク
-
https://winbuzzer.com/2026/06/07/microsoft-sets-june-kerberos-tests-for-ntlm-shift-xcxwbn/
Microsoft will test Kerberos paths for Windows NTLM fallback in June, giving admins a Canary preview to catch legacy app and device authentication failures.
#WindowsNTLM #Kerberos #Microsoft #MicrosoftWindows #Windows11 #WindowsServer #WindowsInsiderProgram #Cybersecurity #WindowsSecurity
-
🚨 NTLM is on its way out. Attackers are still abusing it today.
Pass-the-Hash and NTLM relay attacks remain major Active Directory risks.
👉 https://7asecurity.com/blog/2026/05/ntlm-hash-security-kerberos-migration/
-
🚨 Kerberoasting has evolved.
Attackers now blend into normal network traffic with targeted service ticket requests.
Learn how to detect them with KQL hunting and Kerberos hardening.
👉 https://7asecurity.com/blog/2026/05/stop-kerberoasting-threat-hunting-blueprint/
-
Reset — прохождение сложной машины от Tryhackme
Годная машина на тему Windows AD, Kerberos. В начале разведки получаем доступ к гостевой шаре. Оттуда достаем файл с паролем, но не знаем от какой учетной записи. Проводим разведку юзеров, получаем список и находим 1 пользователя к которому подходит этот пароль. Далее проводим разведку с помощью BloodHound и по цепочке получаем доступ к нескольким аккаунтам у последнего есть права Unconstrained Delegation Privilege на доменный компьютер. С помощью механизма S4U2self, запрашиваем билет на имя администратора и захватываем компьютер.
https://habr.com/ru/articles/1041620/
#windows #reset #kerberos #bloodhound #impacket #hashcat #asrep_roasting #delegation #activedirectory #active_directory
-
What is Silver Ticket Attack: A Comprehensive Guide
In this article, I cover how Silver Ticket attacks work, common exploitation scenarios, detection techniques, and mitigation strategies.
https://denizhalil.com/2026/05/27/silver-ticket-attack-comprehensive-guide/#CyberSecurity #ActiveDirectory #SilverTicket #Kerberos #CredentialAccess #RedTeam #BlueTeam #Pentesting #WindowsSecurity #InfoSec #ThreatDetection #DenizHalil
-
Kerbrute: Enumerating Active Directory Accounts
In this article, I cover how Kerberoasting works, common attack techniques, detection methods, and practical defense strategies.
🔗 https://denizhalil.com/2026/05/21/kerberoasting-attack-defense-guide/
#CyberSecurity #ActiveDirectory #Kerberoasting #Kerberos #CredentialAccess #RedTeam #BlueTeam #Pentesting #WindowsSecurity #InfoSec #ThreatDetection #DenizHalil
-
Basic Active Directory Enumeration: A Comprehensive Guide
In this article, I cover how Kerberoasting works, common attack techniques, detection methods, and practical defense strategies.
https://denizhalil.com/2025/05/05/basic-active-directory-enumeration-a-comprehensive-guide/#CyberSecurity #ActiveDirectory #Kerberoasting #Kerberos #CredentialAccess #RedTeam #BlueTeam #Pentesting #WindowsSecurity #InfoSec #ThreatDetection #DenizHalil
-
What is Kerberoasting Attack – Kerberoasting: A Comprehensive Guide
In this article, I cover how Kerberoasting works, common attack techniques, detection methods, and practical defense strategies.
https://denizhalil.com/2026/05/21/kerberoasting-attack-defense-guide/#CyberSecurity #ActiveDirectory #Kerberoasting #Kerberos #CredentialAccess #RedTeam #BlueTeam #Pentesting #WindowsSecurity #InfoSec #ThreatDetection #DenizHalil
-
Сквозная аутентификация в Linux: настройка Kerberos, интеграция с браузером и автоматизация через Keytab
Масштабный переход на отечественные ИТ-решения ставит перед системными инженерами и разработчиками задачу глубокого освоения базовых механизмов корпоративной безопасности. В основе современных российских экосистем управления инфраструктурой (таких как ALD Pro на базе Astra Linux) лежит программный комплекс FreeIPA. Главным фундаментом доверия, централизованной авторизации и безопасности в этой экосистеме выступает протокол Kerberos. Его корректное понимание и настройка определяют стабильность работы всех смежных сервисов — от сетевых папок до сложных корпоративных веб-приложений. В этой статье детально разберем «анатомию» Kerberos в среде Linux и покажем, как заставить этот протокол эффективно работать на стыке системного администрирования и веб-разработки. Пройдем полный практический путь, разделенный на несколько логических этапов:
https://habr.com/ru/articles/1036670/
#Kerberos #сквозная_аутентификация #FreeIPA #LDAP #OAuth #беспарольный_вход #ALD_Pro #Astra_Linux #КриптоАРМ_ID #sso
-
💥BATTLE DER GIGANTEN💥
Zwei Figuren aus der griechischen Mythologie treten gegeneinander an und ihr entscheidet wer gewinnt!
Wer ist stärker? Und wieso? Wer hat die fieseren Tricks?Heute:
💖Love vs Wauwau🐶...3...2...1...FIGHT!💥
#daschaosundseinekinder #battledergiganten #olympia #olympischespiele #herz #aphrodite #Götter #tier #Göttin #kampf #wergewinnt #griechischemythologie #chaos #cerberus #zerberos #antike #mythen #kerberos
-
chromium-browser (104.0.5112.79-1) unstable; urgency=low
We've switched the default search engine from Google to DuckDuckGo.
To manually override it, just go into Settings, click "Search Engine",
and next to "Search engine used in the address bar", select a different
search engine from the pull-down.Also, catching up on a few upstream changes:
#TLSv1 and TLSv1.1 support have been completely dropped from chromium
(as described in https://chromestatus.com/feature/5759116003770368).
Support for CPUs that lack #SSE3 extensions has also been dropped (as
described on
https://www.tomshardware.com/news/chrome-stops-working-on-old-processors).
Most users shouldn't notice, unless you're using older hardware or
"securely" communicating with older hardware.Lastly, #Chromium 101 changed a setting for host-based authentication.
This broke some folks' #Kerberos, among other things. "AuthServerWhitelist"
was renamed to "AuthServerAllowlist", as described in
https://bugs.debian.org/1013268-- Andres Salomon <[email protected]> Tue, 16 Aug 2022 17:29:29 -0400
-
Думаем графами с IPAHound
Всем привет, меня зовут Михаил Сухов, я участник команды PT SWARM. Нам в команде все чаще встречается инфраструктура, построенная на базе альтернативных реализаций службы каталога Microsoft Active Directory. Одной из таких реализаций, заслуженно получившей большое распространение является FreeIPA. В ходе работы с FreeIPA стало очевидно, что можно изучать еще и архитектурные особенности, которые сильно отличаются от AD. Так появился IPAHound — наш аналог BloodHound для FreeIPA. За основу был взят проект BloodHound Legacy с поддержкой PKI. Мы неоднократно использовали IPAHound в своих проектах по поиску уязвимостей. В этой статье я расскажу о нашем инструменте. Также посмотрим на различные способы анализа связей, облегчающие продвижение в FreeIPA.
https://habr.com/ru/companies/pt/articles/1028412/
#ipahound #freeipa #ldap #sudo #selinux #kerberos #pentest #ald pro #bloodhound
-
Самое подробное руководство по использованию утилиты ktpass в среде Active Directory
Давайте разберем как с помощью утилиты ktpass.exe создавать гарантированно рабочие файлы keytab . Подробно и с примерами рассмотрим каждый параметр утилиты ktpass.exe . А самое интересное - вы узнаете неочевидные факты о принципах использовании salt при генерации ключей Kerberos, из-за которой получаются нерабочие ключи AES. В этом поможет инспекция базы ntds.dit командлетами DSInternals.
-
Интеграция MULTIDIRECTORY и MULTIFACTOR: двухфакторная аутентификация в Kerberos
Kerberos — один из тех протоколов, которые в инфраструктуре работают «тихо». Пользователь вошёл в систему один раз, и дальше всё открывается без лишних вопросов. За этим удобством стоит строгая модель доверия, построенная вокруг KDC и тикетов. Но есть нюанс: классический Kerberos — это по сути однофакторная аутентификация. Если пароль скомпрометирован, вся цепочка доверия находится под угрозой. В этой статье разберём, как можно усилить Kerberos с помощью второго фактора и как это реализовано в связке MULTIDIRECTORY и MULTIFACTOR.
https://habr.com/ru/companies/multifactor/articles/1027480/
#multidirectory #multifactor #kerberos #2fa #2faаутентификация #служба_каталогов #мультифактор
-
@abbra and I released version 0.1.0 of the Kirmes LocalKDC today.
https://gitlab.com/kirmes/localkdc/-/releases/0.1.0
Wait, what are we needing a KDC for which only runs locally? Well, you want the details, I suggest to watch our talk at https://sambaxp.org/ next Monday (or wait till it is online).
It uses systemd-userdb via libkirmes (written in rust) and implements KDB modules for MIT Kerberos also written in Rust (kurbu5)!
-
Особенность настройки аутентификации 1С через веб-сервер расположенный на Linux
В сети достаточно информации о настройке аутентификации 1С при публикации базы на веб‑сервере. Наиболее полная из найденных расположена по адресу https://infostart.ru/1c/articles/2440678 Информация в комментариях к статье достойна ознакомления. Однако для сценария когда: Подробнее...
-
Никаких эксплойтов и zero-day: как эксплуатация безобидных настроек Асtive Directory приводит к компрометации домена
Привет, Хабр! На связи Дмитрий Неверов, технический консультант направления тестирования внутренней инфраструктуры команды Бастиона и автор книги «Идём по киберследу» . Пентестер зачастую воспринимается как «белый маг хакер», которому дай только возможность запустить пару эксплойтов и поэксплуатировать zero-day. Однако наш опыт подсказывает, что самые неприметные и «безобидные» настройки Active Directory могут нести не меньшую опасность в руках умелого взломщика. В этой статье я расскажу о трех интересных пентестах, выполненных нашей командой. Во всех этих кейсах использовалась моя базовая методология пентеста, которая несколько отличается от классического подхода, и применялись только этичные приемы. Итак, поехали!
https://habr.com/ru/companies/bastion/articles/1012354/
#active_directory #Red_Team #пентест #информационная_безопасность #тестирование_на_проникновение #Kerberos #AD #компрометация_домена
-
Типичные ошибки настройки Active Directory
Всем привет! На связи Карпенко Савелий, специалист по тестированию на проникновение из группы по борьбе с уязвимостями в компании ТехВилл. В рамках нашей работы мы регулярно тестируем Active Directory (AD). Это центральный сервис аутентификации и управления доступом во многих корпоративных сетях. С практической точки зрения ошибки в конфигурациях AD часто становятся главной причиной взлома, среди проблемных аспектов можно назвать неверное назначение прав, доступов и использование устаревших механизмов аутентификации. Наличие недостатков в конфигурациях даёт атакующему возможность последовательно поднимать уровень своих привилегий. Ниже собраны типовые ошибки конфигурации, которые чаще всего встречаются на проектах, и показано, как они складываются в цепочки компрометации. На практике аудит и тестирование обычно начинаются с исходных учетных данных, которые предоставляет заказчик. Если их нет, проникновение в инфраструктуру часто происходит через внешние веб-сервисы и ошибки на периметре (утечки паролей, небезопасные публикации, уязвимости бизнес-приложений). В российской практике одним из наиболее частых векторов для входа считается инфраструктура 1С, из-за повсеместного использования и различного уровня поддержки здесь чаще встречаются и слабые настройки, и типовые уязвимости.
https://habr.com/ru/companies/vkusvill/articles/1010812/
#вкусвилл #active_directory #тестирование #kerberos #windows #pentest
-
I run #NFSv4 on my home network of #Debian systems. It works perfectly well.
I use #SSH to move from system to system and in the past was able to get #Kerberos to work as well between them.
So far I've never been able to get NFS and Kerberos to work at the same time and this bugs me. I will have to try harder to make it work.
I don't strictly need to make it work, all my systems are inside my firewall/NAT but it annoys me that I failed to make it work.
-
Ретрансляция Kerberos. Как работает RemoteKrbRelay
В Windows Active Directory существует протокол Kerberos, который считается безопасным и неуязвимым к Relay-атакам. Или всё-таки...? В статье автор погрузился в глубины аутентификации Windows, DCOM и рассказал об инструменте RemoteKrbRelay. Изучить
https://habr.com/ru/articles/848542/
#winapi #kerberos #pentest #relay #hacking #тестирование_на_проникновение #windows_ad #active_directory_pentest
-
Устраняем уязвимости в Active Directory Windows. Часть 1
Известно, что с 2025 года нужно переходить на отечественное ПО, но я думаю, что очень большое количество организаций ещё используют Windows. Поэтому считаю, что данная статья будет актуальна. В нашей статье основным инструментом позволяющим провести проверку безопасности AD будет PingCastle.
https://habr.com/ru/companies/timeweb/articles/827662/
#timeweb_статьи #pingcastle #иб #active_directory #Windows #ПО #HTML #RID #CONTINUE #SMB #SMBv1 #OU #ISE #GPO #Kerberos #DES #ID
-
@photocyte ah yes, hashtags, forgot about those.
so, `mount` is setuid and mounting a filesystem as not-root is a totally acceptable and normal thing to be able to do, and the code is nominally set up to do it but it looks a heck of a lot like /[gs]ete?uid/ is being called in lieu of its counterpart, because the net effect is root needs a copy of the non-root user's kerberos ticket as well for it to work, which is SUPER annoying for e.g. ticket renewal
-
@TomAoki @peteorrall @hl @xdydx I'm surprised ... I didn't expect this to come up in the "enterprise" realm, "just" using kerberized #NFSv4 instead should be pretty fine there and it's probably more the #soho environment that will profit most from some up-to-date #smb client in #FreeBSD 😎 ... but would certainly be very nice to get that!
Also interesting they finally want to move to #MIT #krb5 in base. I'll probably continue to build it from ports, so I can use #LibreSSL instead of #OpenSSL, but still nice, as I found you're e.g. forced to use base #kerberos with the NFS client.
-
@hl @xdydx #FreeBSD has only support for SMBv1, which you should absolutely avoid for security reasons, although you can probably configure #samba to still allow it ... but ... don't. Nowadays I'd prefer to say FreeBSD does not support mounting SMB shares.
There are some ports available implementing "modern" SMB (v2/v3) on top of #fuse, which might be an option, but in my experience, they're not perfectly reliable and performance isn't the greatest either.
If ever possible, work on the server side and see whether you can share via #NFS instead. Either #NFSv3 (which is only "secure" as long as your network is perfectly secure and you control all participating machines, but at least it doesn't pretend to do anything else), or #NFSv4 with #kerberos security.
-
@lattera @drscriptt Now here's some document in the hope it might help someone 😎
https://sekrit.de/webdocs/freebsd/nfs-jail-kerberos-samba.html
#FreeBSD #NFS #NFSv4 #jail #kerberos #kerberized #Samba #ActiveDirectory
-
@drscriptt I'll just dump my understanding of the issue with #kerberos, #nfsv4 and #samba (or #ActiveDirectory) now on here, so if you know better, please correct me 😉
A kerberized service needs an SPN to prove its identity towards clients. This SPN can be attached to any account, it's just best practice to have a dedicated service account. For nfs, it must be named "nfs/<host.fqdn>". The key for this SPN must be available to the server, that's why you have to export it and add it to /etc/krb5.keytab on the server.
To access the service, you need a "service ticket" for its SPN. This can be obtained with your kerberos TGT (ticket-granting ticket). In case of NFS, this is also needed for mounting. And here's the issue with system-wide mounts, there's no user logged into the domain, so you need a "host-based initiator". Basically a key present in the host's /etc/krb5.keytab that's used for the kinit procedure.
[...]
-
@drscriptt I'm still doing a lot of testing and I guess I now finally have a somewhat good understanding what's going on.
With a samba (Windows AD) domain, you should
* create a service account for the nfs-server and create the nfs SPN in that account, export keytab entries for just that SPN and add them to /etc/krb5.keytab on the NFS server
* set the "host" SPN as UPN on all machine accounts that are NFS clients, including the realm in the UPN, which enables the host-based initiator to work (authenticating as the machine account) for the system-wide mount
I'll try to write that down in some howto soon, #jailed #nfsv4 with #kerberos on #FreeBSD and a #samba domain...
I guess it won't necessarily apply to a directory managed in OpenLDAP though ... 😶
