Java8中Kerberos/SPNEGO服务器端auth的变化

Question

我试图将应用程序从使用java7u51更改为使用java8u40，但SSO身份验证失败。客户端没有改变，它使用JNA windows调用(secur32.instance.initializeSecurityContext)，但是服务器不再接受票据。服务器代码没有改变，但它使用的是标准java库，这些库似乎已经改变了。服务器运行在Linux下。

服务器代码如下所示。在windows计算机上，我编写了一个包含票证的文件，以便运行下面的代码进行测试。我有一个非常高的时钟倾斜设置，这样我就可以对着票进行测试。以防万一，我使用java7u51编写了客户机票证，但这并没有帮助。当我在Java7中运行下面的服务器代码时，同样的票证可以正常工作。

失败的位是issesterated返回false。没有有用的调试信息。isseleted返回false意味着需要更多轮，但以前不是这样，我认为不应该是这样。

Properties.setProp("sun.security.krb5.debug", "true")
Properties.setProp("java.security.krb5.realm", "xxxx")
Properties.setProp("java.security.krb5.kdc", "xxxx")
Properties.setProp("java.security.krb5.conf", url(getClass, "/krb5.conf.auth").toExternalForm)
Properties.setProp("java.security.auth.login.config", url(getClass, "/jaas.conf.auth").toExternalForm)
Properties.setProp("javax.security.auth.useSubjectCredsOnly", "true")

val loginCtx: LoginContext = new LoginContext("Server", new LoginCallbackHandler(password))
loginCtx.login()
val subject = loginCtx.getSubject
val ticket = StringIO.readStringFromFile(new File("/tmp/ticket"))
val decoder: BASE64Decoder = new BASE64Decoder
val serviceTicket = decoder.decodeBuffer(ticket)

val user = Subject.doAs(subject, new PrivilegedAction[Option[String]]() {
  def run = {
    try {
      val manager = GSSManager.getInstance
      val context: GSSContext = manager.createContext(null: GSSCredential)
      val arrayOfBytes = context.acceptSecContext(serviceTicket, 0, serviceTicket.length)
      // we ignore arrayOfBytes
      assert(context.isEstablished, "Failed to establish context: " + context)
      val username = context.getSrcName.toString
      Some(username)
    } catch {
      case e: Exception =>
        println("failed: " + e.getMessage)
        None
    }
  }
})

krb5.conf.auth
[libdefaults]
default_realm = XXX
allow_weak_crypto=true
default_tkt_enctypes = rc4-hmac des-cbc-md5 des-cbc-crc des3-cbc-sha1
default_tgs_enctypes = rc4-hmac des-cbc-md5 des-cbc-crc des3-cbc-sha1
permitted_enctypes = rc4-hmac des-cbc-md5 des-cbc-crc des3-cbc-sha1
default_checksum = rsa-md5
kdc_timesync = 0
kdc_default_options = 0x40000010
clockskew = 30000
check_delegate = 0
ccache_type = 3
kdc_timeout = 60000
forwardable = true
dns_lookup_realm = true
dns_lookup_kdc = true
ticket_lifetime = 24h

#excluding realms and domain_realm

jaas.conf.auth (server section)

Server {
   com.sun.security.auth.module.Krb5LoginModule required
     useKeyTab=false
     debug=true
     isInitiator=false
     storeKey=true
     useTicketCache=false
     principal="XXX";
};

更新2：这不是真正的答案，但如果我改变windows客户端创建票证的方式，它就会工作。因此，如果您不创建SPNEGO包装的票证，而是创建Kerberos专用票证，那么Java8将接受它。因此，将下面的“协商”改为“Kerberos”可以解决这个问题。

Secur32.INSTANCE.AcquireCredentialsHandle(
      servicePrincipalName,
      "Negotiate", // Change to "Kerberos"
      new NativeLong(Sspi.SECPKG_CRED_OUTBOUND),
      null,
      authIdentity.getPointer,
      null,
      null,
      phClientCredential,
      ptsClientExpiry)

Answer 1

Kerberos/SPNEGO是一个浪费域。

根据我的想法，下面是一个快速检查列表，希望对此有任何帮助。

>

您重新生成keytab了吗？与在服务器端使用的JDK相同？

您的服务器是否运行在正确的用户下（如键选项卡中定义的）？

您是否选择“永不过期”选项生成它们？

你需要256位加密吗？可以看到键入（键类型18=AES-256):