安全认证

Kafka SASL配置 & Demo测试

Kerberos

1、Kerberos是一个基于共享密钥对称加密的安全网络认证系统，它避免了将密码（包括密码hash）在网上传输，而是将密码作为对称加密的密钥，通过能不能解密来验证用户的身份；
2、Kerberos在验证完用户身份后会发给用户Ticket，这个Ticket包含了用户的授权，用户拿着这个Ticket去享受各种服务，所以在Kerberos管理的范围内用户只需要登录一次就可以享用所有的服务；
3、如果拿Kerberos作为集群服务器的登录管理，那么每台工作机（或者是跳板机，但是sshd不提供Kerberos的ticket初始化，需要自己改造一下）都必须是Kerberos于的成员；
4、负责管理发放Ticket和记录授权的中心服务器被称为KDC（Key Distribution Center），它知道所有用户和服务的密码。这就是Kerberos服务器；

JAAS

Java Authentication and Authorization Service（JAAS，Java验证和授权API）提供了灵活和可伸缩的机制来保证客户端或服务器端的Java程序。Java早期的安全框架强调的是通过验证代码的来源和作者，保护用户避免受到下载下来的代码的攻击。JAAS强调的是通过验证谁在运行代码以及他/她的权限来保护系统免受用户的攻击。它让你能够将一些标准的安全机制，例如Solaris NIS（网络信息服务）、Windows NT、LDAP（轻量目录存取协议），Kerberos等通过一种通用的，可配置的方式集成到系统当中去。

ssl、sasl、jaas简单解释

数字证书, 数字签名, SSL(TLS) , SASL

*ssl: 对传输的数据加密
*是一种间于传输层（比如TCP/IP）和应用层（比如HTTP）的协议. 它通过"握手协议"和"传输协议"来解决传输安全的问题.

SSL的基本思想是用非对称加密来建立链接（握手阶段），用对称加密来传输数据（传输阶段）。这样既保证了密钥分发的安全，也保证了通信的效率(因为非对称加密更耗时)。

sasl: 访问的认证和授权

是作用在认证层上,是一种身份认证框架,sasl验证架构决定服务器本身如何存储客户端的身份证书以及如何核验客户端提供的密码。

   如果客户端能成功通过验证，服务器端就能确定用户的身份， 并借此决定用户具有怎样的权限。

    sasl的常见具体实现有plain、kerberos等, 就好比slf4j是框架,log4j是具体实现

    如果要将Kerberos与SASL一起使用，则将需要另一种间接级别：GSSAPI（最常与Kerberos一起使用，但也可以允许其他机制）。

---

SASL是一种用来扩充C/S模式验证能力的机制认证机制, 全称Simple Authentication and Security Layer.

 当你设定sasl时，你必须决定两件事；一是用于交换“标识信 息”（或称身份证书）的验证机制；一是决定标识信息存储方法的验证架构。

 sasl验证机制规范client与server之间的应答过程以及传输内容的编码方法，sasl验证架构决定服务器本身如何存储客户端的身份证书以及如何核验客户端提供的密码。

 如果客户端能成功通过验证，服务器端就能确定用户的身份， 并借此决定用户具有怎样的权限。

比较常见的机制:

4.4 digest-md5(较常用)
使用这种机制时，client与server共享同一个隐性密码，而且此密码不通过网络传输。验证过程是从服务器先提出challenge（质询）开始， 客户端使用此challenge与隐性密码计算出一个response（应答）。不同的challenge，不可能计算出相同的response；任何拥 有secret password的一方，都可以用相同的challenge算出相同的response。因此，服务器只要比较客户端返回的response是否与自己算 出的response相同，就可以知道客户端所拥有的密码是否正确。由于真正的密码并没有通过网络，所以不怕网络监测。

4.5 kerberos
kerberos是一种网络型验证协议。除非你的网络已经使用kerberos，否则你应该用不到kerberos机制；相对的，如果你的网络已经架设了kerberos验证中心，sasl就能完美的将smtp验证整合进现有的体系。

---

SSL和SASL之间的一个明显区别是，SASL允许选择不同的机制来对客户端进行身份验证，如可以选择使用GSSAPI，Kerberos，NTLM等,

而SSL被绑定为基于证书进行身份验证。

JAAS,是用于处理身份验证和授权的通用Java框架