Влияние рекомендации по безопасности Microsoft ADV190023 на Spring Ldap (привязка канала LDAP и подписание LDAP)

Мы используем Spring Security Ldap Library (v4.0.4) для получения списка пользователей из Active Directory нашего клиента (ldap: // domain: 389) и для их аутентификации для входа в наше веб-приложение.

Корпорация Майкрософт недавно опубликовала рекомендацию по включению привязки канала LDAP и подписи LDAP: https://portal.msrc.microsoft.com/en-us/security-guidance/advisory/ADV190023

«Привязка канала LDAP и подписывание LDAP обеспечивают способы повышения безопасности связи между клиентами LDAP и контроллерами домена Active Directory. На контроллерах домена Active Directory существует набор небезопасных конфигураций по умолчанию для привязки канала LDAP и подписи LDAP, которые позволяют клиентам LDAP связываться с ними. без принудительной привязки канала LDAP и подписи LDAP. Это может открыть контроллеры домена Active Directory для повышения привилегий уязвимостей ".

Нас спросили, повлияет ли включение привязки каналов LDAP и подписи LDAP на их серверах на наши процессы. Мне не удалось найти информацию об этом в документации: https://docs.spring.io/spring-security/site/docs/current/reference/htmlsingle/#ldap

Поддерживаются ли они библиотекой Spring Security Ldap (v4.0.4)? Если да, то следует ли изменить какую-либо конфигурацию, чтобы ничего не произошло?


spring spring-security active-directory spring-ldap spring-security-ldap
person nilgun    schedule 27.02.2020    source источник

Ответы (2)


arrow_upward
1
arrow_downward

Вот официальный ответ, который я получил со страницы проекта на Github, для людей, которые могут найти его полезным:

https://github.com/spring-projects/spring-security/issues/8037

Нет, поддержка AD Spring Security выполняет только простые привязки с именем пользователя и паролем пользователя - единственное доступное улучшение безопасности - это использование TLS. Если приложению требуется привязка канала, я бы предположил, что это будет через GSS-API Java.

Поскольку 4.0.x больше не является поддерживаемой веткой, любая добавленная поддержка, скорее всего, войдет в современные версии Spring Security.

Конечно, если в процессе вы обнаружите какие-либо проблемы или захотите предложить функцию, не стесняйтесь открывать другую проблему и, возможно, связать ее с этой.

person nilgun    schedule 23.03.2020

arrow_upward
0
arrow_downward

Spring Security Ldap Library (v4.0.4), выпущенная в феврале 2016, который слишком стар для поддержки привязки каналов LDAP и подписи LDAP для Рекомендации Microsoft по безопасности, опубликованные в августе 2019 г.

Я рекомендую обновить библиотеку Spring Security Ldap до новая стабильная версия 5.3.0

person Devesh mehta    schedule 07.03.2020
comment
Знаем ли мы, что стабильная версия 5.3.0 поддерживает эти функции? - person nilgun; 07.03.2020
comment
Рекомендация была опубликована в августе 2019 года, но в ней говорится, что политика подписания LDAP-сервера: требования к подписи сервера LDAP уже существует во всех поддерживаемых версиях Windows. Предыдущие версии библиотеки могут по-прежнему их поддерживать? - person nilgun; 07.03.2020