Kerberos身份明文传输问题：能否通过AD配置实现加密传输？

可以通过AD和Kerberos的内置配置，实现所有Kerberos报文（AS-REQ、AS-REP、TGS-REQ、TGS-REP等）的加密传输，彻底解决用户名等身份信息明文暴露的问题，逻辑和EAP-PEAP、TLS 1.3的隧道加密思路一致。

核心方案：启用KDC over SSL/TLS #

这是最直接的解决方式，让所有Kerberos流量通过TLS隧道传输，从根本上加密包括用户名在内的所有报文内容。具体配置步骤如下：

1. 为域控制器KDC申请并安装SSL证书

   • 证书必须符合Kerberos KDC的要求：主体名称需为krbtgt/<你的域名>，或在SAN（主题备用名称）中包含kdc/<你的域名>的服务标识；证书需由域内CA或受信任的第三方CA颁发。
   • 在域控制器上，通过证书服务或第三方工具完成证书安装，确保证书绑定到KDC服务。

2. 启用KDC强制TLS通信

   • 注册表配置：
     打开注册表编辑器，定位到HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Kdc，添加以下DWORD值：
     • KDCTlsEnabled：设为1（启用TLS）
     • KDCTlsPort：设为6546（Kerberos TLS默认端口，可自定义）
   • 组策略配置（推荐域环境批量部署）：
     打开组策略管理编辑器，导航到计算机配置 > 管理模板 > 系统 > Kerberos > KDC，启用要求KDC使用SSL/TLS进行所有Kerberos通信策略，设置TLS端口（默认6546）。

3. 客户端适配

   • Windows客户端默认支持KDC over TLS，只要能信任KDC的证书（域内CA颁发的证书会自动信任），客户端会自动尝试通过TLS连接KDC，无需额外配置。

补充强化：启用Kerberos强预认证 #

配合KDC over TLS，启用强预认证可以进一步提升安全性：

• 在AD用户属性的「账户」选项卡中，勾选「要求Kerberos预认证」；
• 这会让客户端在AS-REQ中发送PA-ENC-TIMESTAMP（用KDC公钥加密的时间戳），即使TLS隧道外有残留信息，也无法被利用，和PEAP的内部分层加密逻辑呼应。

关键说明 #

• AD从Windows Server 2008开始就原生支持KDC over TLS，并非需要额外第三方工具；
• TLS 1.3完全兼容该方案，只要域控制器的操作系统（Windows Server 2022及以上默认支持TLS 1.3）和证书配置支持，即可启用TLS 1.3加密隧道，实现和EAP-PEAP同级的身份传输安全性。

内容的提问来源于stack exchange，提问作者user2913139