10.0.0.21 Git - krsd/blob - LIMITATIONS

   1 KNOWN LIMITATIONS OF KRSD
   2 =========================
   3
   4 *Not all things that you might like work as you think...*
   5
   6
   7 Limited use of CORS
   8 -------------------
   9
  10 The CORS approach may not work.  Think of it -- you're a browser and a
  11 (potentially rogue) program attempts to approach a remote site and serve
  12 it with your Kerberos ticket.  This may not be what the user is after, as
  13 it may give rise to a MITM attack.
  14
  15 CORS in general has a fairly rocky basis when it comes to security.  This
  16 is especially true for the implicit security operations that are provided
  17 by a browser: Negoatiate for GSSAPI/Kerberos, and X.509 client certificates
  18 over a TLS connection.
  19
  20 The point is, these implicit security operations are more promising in a
  21 secure web model than CORS can ever be.  The separation of application
  22 program dynamicity from solid HTTP handling is very useful in keeping
  23 rogue programs away from (the use of) credentials.  It could even be
  24 implemented along the way, in an "authenticating HTTP proxy".
  25
  26
  27 Limited utility for POSIX accounts
  28 ----------------------------------
  29
  30 Where rs-serve was designed for local user accounts that were made available
  31 for web storage, the krsd is instead designed to service infrastructure,
  32 in a manner that can be hosted en masse by hosting providers.  This should
  33 make the work accessible to a larger audience.
  34
  35 The use of POSIX accounts works well for a local setup, but less so for the
  36 infrastructural variety.  For that reason, files are stored under the user
  37 of the krsd and the user privileges are not modified.
  38
  39
  40 Filesystem backing on OpenAFS
  41 -----------------------------
  42
  43 There is a potential filesystem approach to this, though.  It is feasible
  44 to use the online filesystem AFS as a backend, and employ Kerberos to
  45 authorize any changes to it.  If this is done, S2U4Proxy can be used to
  46 pass on the SPNEGO credential to access the AFS mount.  This would work if
  47 the KDC has Constrained Delegation configured to permit the krsd HTTP service
  48 to access the filesystem, or when a krsd credential is permitted in the ACL
  49 of the AFS partition.
  50
  51 Note how this approach makes the stored data available to the end user, in
  52 much the same way as with a local storage directory under a POSIX account.
  53
  54