Document upgrading principals to AES
authorAnders Kaseorg <andersk@mit.edu>
Tue, 27 Nov 2012 05:01:10 +0000 (00:01 -0500)
committersipb-www <sipb-www@whole-enchilada.mit.edu>
Tue, 27 Nov 2012 05:01:10 +0000 (00:01 -0500)
doc/root-instance.mdwn

index efd1790df4502c0e9fd6f8d9691558c98ae35797..1747d67a7fcf309479812984c22080ca711d7fbc 100644 (file)
@@ -108,3 +108,17 @@ above, being in control of your null instance and sending a zephyr or
 authenticated e-mail with it does not mean that you can go ahead and
 make changes to your root or extra instance too.  While you're there,
 be sure to ask for a pts id, if you want to use your tickets with AFS.
+
+## Upgrading cryptographic strength
+
+You should change your root instance‚Äôs password with a command like this, to upgrade your key from critically weak DES encryption algorithm to strong AES encryption:
+
+    kadmin -p andersk/root -q 'cpw -e aes256-cts:normal andersk/root'
+
+(Note: This might make your password incompatible with a [handful of services](http://debathena.mit.edu/trac/ticket/529) that you should not have been using with your root instance in the first place.)  You can confirm the change with
+
+    kadmin -p andersk/root -q 'getprinc andersk/root'
+
+which should list a line like
+
+    Key: vno 4, aes256-cts-hmac-sha1-96, no salt