C#, Kerberos - Domain.GetDomain - 使用 RC4 的 TGS

Question

我正在用 C# 编写一个与 AD 相关的应用程序。

当我执行以下操作时，

DirectoryContext context = new DirectoryContext(DirectoryContextType.Domain, "Domain.com");
Domain domain = Domain.GetDomain(context);

域控制器上的 Kerberos 服务票证日志显示“票证加密”类型为 0x17，即 RC4。域和林功能级别为 Windows Server 2012。

我使用 WireShark 来获取一些详细信息。 TGS 请求数据包显示 AES256、AES128、RC4、DES 作为支持的加密类型。 TGS 回复包显示该票证的加密类型为 RC4。

如果我设置组策略以限制使用 AES 128 和 256，则回复将使用 AES 256。

我的问题：如果请求数据包显示它支持 AES 256，那么回复不应该是相同的，即最安全的加密吗？ 这是一个已知问题还是我遗漏了什么？

PS 如果有什么不同，我在项目设置中尝试了使用 .net Framework 4.0、4.5、4.6 的此应用程序。所有这些都使用了 RC4。

感谢您的帮助！

Answer 1

TGS 的回复将具有共享密钥中指定的最安全的加密类型（域控制器知道它添加到服务/服务器的密钥表中的加密类型）。