<div dir="ltr"><div class="gmail_default" style="font-size:small">On Tue, Nov 28, 2017 at 4:10 AM, Darren Moffat <span dir="ltr"><<a href="mailto:darren@nessieroo.com" target="_blank">darren@nessieroo.com</a>></span> wrote:<br></div><div class="gmail_extra"><div class="gmail_quote"><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex"><div dir="auto">You say you don't trust your KDC admin but do you trust your DNS admin ? What about the administrator of the naming service which is probably LDAP ?<div dir="auto">Are you running LDAP over TLS ? How are you managing the certificate trust anchors for LDAP so you know you are connecting to the correct servers?</div></div></blockquote><div><br></div><div><div class="gmail_default" style="font-size:small">​I have already removed the DNS admin from the trust nexus using Strong Internet Names which are essentially PGP like fingerprints embedded in DNS names.​</div></div><div><br></div><div><a href="http://www.prismproof.org/Documents/draft-hallambaker-sin.html">http://www.prismproof.org/Documents/draft-hallambaker-sin.html</a><br></div><div><br></div><div><div class="gmail_default" style="font-size:small">​I would rather poke my eyes out with a stick than use LDAP.​</div></div><div><br></div><div> </div><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex"><div dir="auto"><div dir="auto">I understand your concern with Kerberos but really it plus DNS and LDAP (which is going to be present in almost all but the tiny deployments) all need to be considered and probably need to be equivalently secured and trusted. Which is why Microsoft having them all together in Active Directory is often a good thing (see also IPA server)</div><span class="gmail-HOEnZb"><font color="#888888"><div dir="auto"><br></div></font></span></div></blockquote><div><br></div><div class="gmail_default" style="font-size:small">​This is really not helpful. I am aware that there are many security concerns. Right now, the security concern I am looking at is ​confidentiality risk from Mallet having god access to my enterprise file system. </div></div><br></div><div class="gmail_extra"><div class="gmail_default" style="font-size:small">​If I had thought up a solution to a different problem then I would be asking about that. Right now, I am focusing on the problem I have a solution for and looking to see if someone else has solved it already.​</div><br></div><div class="gmail_extra"><br></div></div>