Posso usar o Kerberos para EAP sem que o servidor RADIUS receba nada além de um ticket?

Question

Eu gostaria de usar o Kerberos com o FreeRADIUS, mas não quero que o FreeRADIUS tenha acesso a senhas (com hash ou outras), especialmente porque essas senhas podem não existir se a autenticação com cartão inteligente for usada. Eu preferiria que o FreeRADIUS tivesse acesso apenas aos tickets do Kerberos. Como posso fazer isso?

    

Answer 1

Não, infelizmente não. Não é uma limitação no FreeRADIUS tanto quanto não há nenhum método EAP que suporte nativamente o Kerberos. A única maneira de fazer o login do kerberos com o RADIUS é usar um método EAP que forneça as credenciais, e usá-las para descriptografar o TGT no servidor RADIUS.

Eu tenho lamentado esse fato nos últimos 10 anos, já que o SSO entre a camada de rede e os aplicativos seria incrível. Infelizmente, parece haver tanta inércia na indústria que é improvável que tenhamos um método EAP, especialmente quando passamos do pico do Kerberos.