Блог

Главная - Вопросы по программированию - Блокировка ключа Kerberos предотвращает диалоговое окно входа в систему

Блокировка ключа Kerberos предотвращает диалоговое окно входа в систему

#java #authentication #keycloak #kerberos #spnego

Вопрос:

Я использую keycloak для управления аутентификацией веб-приложения на базе java.
Я настроил федерацию пользователей Kerberos, которая отлично работает во внутренней сети.
Получая доступ к веб-приложению из-за пределов сети, я получаю следующее диалоговое окно входа вместо того, чтобы перенаправляться в форму входа в keycloak.
Интересно, что переадресация работает с Firefox, но не с Edge, Chrome, IE.

Как я могу предотвратить диалоговое окно входа в систему и перенаправить его непосредственно в форму ввода ключа?

ИЗМЕНИТЬ: Например, можно ли создать второй поток аутентификации (с отключенным kerberos) и передать его в качестве параметра в URL-адресе?

Поток Аутентификации:

  • Kerberos — АЛЬТЕРНАТИВА
  • Формы — АЛЬТЕРНАТИВНЫЕ

Диалоговое окно Входа в браузер

Ответ №1:

Что я понял, диалоговое окно браузера-вход-не отображается, и поток перенаправляется на страницу входа в систему с ключом, если выполнены следующие настройки.

  • URL веб-приложения добавляется в раздел «Надежные сайты» (либо через настройки IE, либо через объект групповой политики)
    RU: Computer ConfigurationAdministrative TemplatesWindows ComponentsInternet ExplorerInternet Control PanelSecurity PageSite to Zone Assignment List
    DE: ComputerkonfigurationAdministrative VorlagenWindows-KomponentenInternet ExplorerInternetsystemsteuerungSicherheitsseiteListe der Site zu Zonenzuweisungen

Объекты групповой политики Kerberos - надежные сайты

  • выполняется следующая настройка
    объекта групповой политики.: Computer ConfigurationAdministrative TemplatesWindows ComponentsInternet ExplorerInternet Control PanelSecurity PageTrusted Sites Zone
    Параметры входа в систему: Автоматический вход с текущим именем пользователя и паролем
    DE: ComputerkonfigurationAdministrative VorlagenWindows-KomponentenInternet ExplorerInternetsystemsteuerungSicherheitsseiteZone vertrauenswürdiger Sites
    Anmeldungsoptionen: Automatische Anmeldung mit aktuellem Benutzername und Kennwort

введите описание изображения здесь

Комментарии:

1. Эй, вы уверены, что пользователь не проходит проверку подлинности с помощью kerberos? Обычно в таком случае браузер отправляет токен автоматически (без запроса). Я вижу здесь уязвимости в системе безопасности.

2. Да, поскольку «доступ к веб-приложению из-за пределов сети», я не являюсь пользователем ОБЪЯВЛЕНИЯ и, следовательно, не прошел проверку подлинности через объявление.

Метки: