Dank Kerberos wird eine Bedrohung, die ganz allgemein für die
Sicherheit im Netzwerk besteht, ausgeschaltet. Weshalb also wird
Kerberos dann nicht in jedem Netzwerk verwendet? Die Implementierung
von Kerberos kann sich aus mehreren Gründen schwierig gestalten:
Es existiert keine schnelle und standardisierte skriptbasierte
Lösung für das Übertragen von
Benutzerpasswörtern von einer standardmäßigen
UNIX-Passwortdatenbank in eine Kerberos-Passwortdatenbank. Zwar
ist die Übertragung technisch möglich, doch stehen
für Kerberos keine Konvertierungsskripten zur Verfügung.
Weitere Informationen hierzu siehe
Kerberos FAQ Question 2.23.
Damit eine Anwendung Kerberos verwenden kann, müssen ihre
Quellen so modifiziert werden, dass die geeigneten Aufrufe an die
Kerberos-Bibliotheken gesendet werden können. Bei einigen
Anwendungen ist der hierfür erforderliche Programmieraufwand
möglicherweise zu groß. Bei anderen Anwendungen
müssen an dem von den Netzwerkservern und ihren Clients
verwendeten Protokoll Änderungen vorgenommen werden. Auch das
kann unter Umständen einen zu großen Aufwand bedeuten.
Zudem besteht die Möglichkeit, dass einige Closed
Source-Anwendungen einfach nicht mit Kerberos arbeiten können.
Falls Sie sich für den Einsatz von Kerberos in Ihrem Netzwerk
entscheiden, müssen Sie sich außerdem bewusst sein, dass
Kerberos "entweder ganz oder gar nicht" eingesetzt wird.
Wenn also noch irgendwelche Dienste in
Verwendung bleiben, die Passwörter im Klartext
übermitteln, dann besteht weiterhin Gefahr, dass Ihre
Passwörter abgehört werden können, d.h., es ergibt
sich für Ihr Netzwerk keinerlei Vorteil aus der Verwendung von
Kerberos. Wenn Sie Ihr Netzwerk durch Kerberos sichern
möchten, müssen Sie entweder alle
Anwendungen, die Passwörter im Klartext versenden,
kerberisieren (sie so einrichten, dass sie mit
Kerberos arbeiten können), oder ganz auf die Verwendung dieser
Anwendungen in Ihrem Netzwerk verzichten.
