通过 javascript 或 HTML 5 的 Kerberos答案

【问题标题】：Kerberos via javascript or HTML 5通过 javascript 或 HTML 5 的 Kerberos
【发布时间】：2012-01-20 23:24:28
【问题描述】：

我的任务是设置一个服务器，该服务器使用基于 Web 的控制界面，使用 kerberos 和活动目录进行身份验证。我使用twisted.web 作为网络服务器。问题是我不希望用户密码通过此服务器，但我不知道 Firefox 和 chrome 是否可以从 kerberos 密钥服务器获取访问密钥。具体来说，它必须与 firefox 一起使用，其他浏览器将是一个奖励。是否有 javascript 库，可能使用 HTML5 或 firefox 插件，允许使用 kerberos 对不受信任的服务器进行身份验证？也可以使用 Flash 应用程序。

【问题讨论】：

如果你使用 Python，这个问题的答案可能有用：stackoverflow.com/questions/922805/…
milimoose 建议的问题是密码仍然要通过服务器，所以用户必须相信服务器不会弄乱它。用户可以查看javascript，如果他们关心的话，所以我想把它放在客户端机器上的javascript和AD服务器之间。 Javascript Web Sockets 已经很接近了，但我不想尝试自己使用它们来实现 kerberos 协议。
我早就不需要这个了，但是来自noVNC 团队的websockify 项目可能会让在浏览器中实现Kerberos 成为可能。通过 emscripen（或类似方法）编译 kerberos，或者直接在 javascript 中重新实现它的至少一部分。

标签： javascript active-directory twisted kerberos

【解决方案1】：

也许您可以通过twisted 前面的反向代理并使用来自Web 应用程序的http 身份验证，并通过apache 或nginx 模块将身份验证本身委托给Kerberos。

根据您的用例，虽然代理会收到密码，但扭曲的服务器不会。请求将被代理拦截，并在身份验证成功后委托给您的后端 (proxy_pass)。

这样您的解决方案将独立于任何 http 客户端/网络浏览器工作。

【讨论】：

一个有趣的建议，我没有考虑过。问题是我的组织没有设置服务器来处理这种类型的代理服务。我可以设置一个，但只能在我不希望密码命中的服务器上。与其说是我不信任服务器软件，倒不如说是它希望在有人的帐户被盗时避免审计噩梦。