Node.js https.get 或 https.request 中的 Kerberos 身份验证

Question

我正在尝试编写一个简单的脚本，该脚本从内部网络上的工具请求一些数据。代码如下：

#!/usr/bin/node

var https = require('https');
var fs = require('fs');

var options = {
  host: '<link>',
  port: 443,
  path: '<path>',
  auth: 'username:password',
  ca: [fs.readFileSync('../.cert/newca.crt')]
};

https.get(options, function(res) {
  console.log("Got response: " + res.statusCode);
  res.on('data', function (d) {
    console.log('BODY: ' + d);
  });
}).on('error', function(e) {
  console.log("Got error: " + e.message);
});

现在的问题是，如何使用 Kerberos 票证进行身份验证，而不是在 auth: 中以纯文本形式提供我的凭据？

Answer 1

来自http://docs.oracle.com/cd/E24191_01/common/tutorials/authn_kerberos_service.html

消息级标准的客户端令牌位置：Kerberos 服务票证可以在 Authorization HTTP 标头中发送，也可以在 在消息本身内部，例如，在一个 元素。或者，它可能包含在消息中 属性。选择以下选项之一：

所以您提供的是票证而不是您的用户名：密码

或者，您可以如下所述将信息放在消息正文中或作为消息属性

var request = https.request(options, function(resource) {
  var chunks = [];
   resource.on('data', function (chunk) {
     chunks.push(chunk);
   });
   resource.on('end', function () {
     var data = chunks.join('');
     console.log(data);
   });
}

request.on('error',...)
request.send('<body-with-ticket>');
request.end();

编辑：

“”部分是我在哪里使用票证的示例，将其放在多类型正文中并发送，或者使用 WWW-Authenticate 标头发送它

例如。将其添加到 https.request 的选项中

options = {
    host: 'hostname',
    port: 443, 
    'WWW-Authenticate': 'Negotiate ' + ticketdata
};

google 有一些关于其工作原理的漂亮图表： https://developers.google.com/search-appliance/kb/secure/kerberos-diagram

Answer 2

在 Paul Scheltema 的回答中，您需要从操作系统的深度获取票证数据。您（或代表您的模块）必须使用 GSS-API 让 Active Directory 为您生成票证数据。

这种机制在 Chrome 中是有的，但似乎 Node.js 中没有（只有 Chrome 的 javascript 引擎），所以你可能需要添加一个模块，例如：

• Passport-Kerberos：https://www.npmjs.org/package/passport-kerberos 和 http://passportjs.org/guide/
• Kerberos (npm install kerberos)
• 在 github 上的 Node.js 源代码中，有迹象表明有人一直在为此使用 Bones 模块 (https://github.com/joyent/node/search?q=kerberos&ref=cmdform)。 3 年前，使用 DES（这种编码类型非常弱，已被弃用多年）

要安装/编译此类模块，您可能需要 Visual Studio。

---

要设置环境， - 在所有计算机上，您必须在端口 88 (Kerberos) 和 53 (dns) 上启用 tcp 和 udp。 - 必须在 Windows Server 上运行 Active Directory（ldap、dns、kdc） - 在页面 https://www.npmjs.org/package/passport-kerberos 他们使用术语 REALM。这是一个域名，大写。

Answer 3

我已经使用“kerberos”模块，版本 0.0.12 使它工作。我用工作示例创建了一个要点：

https://gist.github.com/dmansfield/c75817dcacc2393da0a7

基本上，您使用三种方法来获取“Authorization”标头数据：

• authGSSClientInit，需要服务名称，例如HTTP@somehost.com
• authGSSClientStep，它需要存在凭据缓存（在 Linux 上，您可以通过执行“kinit”来获得此缓存，并且可以使用“klist”进行验证），并且实际上会返回您需要的 base64 内容（没有前导的“Negotiate” " 字符串)
• authGSSClientClean，释放所有分配的内存结构

然后您创建一个“授权”标头（不是上面显示的 WWW-Authenticate，这是服务器发回的内容），它应该可以工作。

另请注意：通常，Web 浏览器请求资源，在响应中返回带有 WWW-Authenticate: Negotiate 标头的 401，然后使用“授权”标头中提供的票证数据重新请求资源。每个资源都会发生这种两步舞。我不确定这是否意味着什么。

Answer 4

如果您使用的是 Windows，则可以使用 SSPI 接口。它以项目node-expose-sspi 暴露在Node 上。

SSPI 接口允许您使用 SSO（NTLM 和 Kerberos）编写任何客户端或服务器。

https://github.com/jlguenego/node-expose-sspi

注意：我是 node-expose-sspi 的作者。

Answer 5

2020 UPD：

较新版本的kerberos npm 包的方法要少得多。但我让它工作：

const kerberos = require('kerberos').Kerberos;
const fetch = require('node-fetch');

(async () => {
    const client = await kerberos.initializeClient("HTTP@site.internal.net", {
        mechOID: kerberos.GSS_MECH_OID_SPNEGO,
    })

    const ticket = await client.step("")

    const resp = await fetch("https://site.internal.net/api/v1/hello", {
        headers: {
            'Authorization': 'Negotiate ' + ticket
        }
    })

    console.log(await resp.json())
})();

在 Windows 和 Linux 上完美运行，应该也可以在 macOS 上运行。

Answer 6

在 Windows 上。这个answer 似乎是正确的，只是可能需要一些调整。

const client = await kerberos.initializeClient("HTTP/site.internal.net@DOMAIN.HERE", {
    mechOID: kerberos.GSS_MECH_OID_SPNEGO,
})

适用于 GSS_MECH_OID_KRB5 和 GSS_MECH_OID_SPNEGO。 从命令行使用 klist，您将获得现有 kerberos 票证、其站点（例如 site.internal.net）和域（例如 DOMAIN.HERE）的概览。

kerberos 流程是您首先获得带有 WWW-Authenticate: Negotiate 标头的 401。然后，您应该使用 'Authorization': 'Negotiate ' + ticket 向以 401 响应的 url（可以是相同的 url，可以是重定向 url）发出第二个请求，如示例所示。不要忘记重用第一次请求中的任何 Cookies 来维护会话。

完整的请求可能如下所示：

const kerberos = require('kerberos').Kerberos;
const fetch = require('node-fetch');

(async () => {
    const client = await kerberos.initializeClient("HTTP/site.internal.net@DOMAIN.HERE", {
        mechOID: kerberos.GSS_MECH_OID_SPNEGO, // or GSS_MECH_OID_KRB5
    })

    const ticket = await client.step("")

    // 401 here, get cookies
    const resp1 = await fetch("https://site.internal.net/api/v1/hello")

    // ... code to handle cookies ...

    const resp2 = await fetch("https://site.internal.net/api/v1/hello", {
        headers: {
            'Authorization': 'Negotiate ' + ticket,
            'Cookie': // ... add cookies from first request ..
        }
    })

    console.log(await resp2.json())
})();