بنية Kerberos وتدفق التذاكر

طُوّر Kerberos في MIT بوصفه جزءًا من Project Athena في ثمانينيات القرن العشرين، لتوفير مصادقة آمنة عبر الشبكة في بيئة حوسبة موزعة. وقد سُمّي نسبةً إلى الكلب ذي الرؤوس الثلاثة الذي يحرس العالم السفلي، ويوفر مصادقة متبادلة بين العملاء والخدمات باستخدام طرف ثالث موثوق هو مركز توزيع المفاتيح.

يضم KDC مكونين منطقيين: خدمة المصادقة (AS) وخدمة منح التذاكر (TGS). وفي Microsoft Active Directory، تعمل الخدمتان كلتاهما على وحدة تحكم المجال. تتولى AS معالجة تسجيل الدخول الأولي وإصدار تذاكر منح التذاكر (TGTs)، بينما تصدر TGS تذاكر الخدمة للوصول إلى خدمات محددة.

يبدأ العميل المصادقة بإرسال AS-REQ إلى خدمة المصادقة. ويتطلب Kerberos الحديث مصادقة مسبقة، إذ يشفر العميل طابعًا زمنيًا باستخدام مفتاحه طويل الأمد (المشتق من كلمة المرور) لإثبات معرفته بكلمة المرور. ويمنع ذلك هجمات القاموس دون اتصال ضد رسائل AS-REQ غير المحمية.

يتحقق AS من بيانات المصادقة المسبقة، ثم يرد برسالة AS-REP تتضمن تذكرة منح التذاكر (TGT) المشفرة باستخدام المفتاح طويل الأمد لحساب krbtgt، الذي لا يستطيع العميل فك تشفيره، ومفتاح جلسة مشفرًا باستخدام المفتاح طويل الأمد للعميل. ويفك العميل تشفير الجزء الخاص به فقط للحصول على مفتاح جلسة TGS.

عندما يريد العميل الوصول إلى خدمة، يرسل TGS-REQ إلى خدمة منح التذاكر، متضمنًا TGT بوصفها إثباتًا للهوية، ومُوثِّقًا مشفرًا باستخدام مفتاح جلسة TGS. ويفك TGS تشفير TGT باستخدام مفتاح krbtgt للتحقق من هوية العميل.

ترد TGS بتذكرة خدمة مشفرة باستخدام المفتاح طويل الأمد للخدمة المستهدفة، إلى جانب مفتاح جلسة جديد مشفر للعميل. ولا يستطيع العميل قراءة محتويات تذكرة الخدمة، بل الجزء المشفر له فقط. وتثبت تذكرة الخدمة هوية العميل للخدمة.

يرسل العميل AP-REQ إلى الخدمة المستهدفة، متضمنًا تذكرة الخدمة ومُوثِّقًا جديدًا مشفرًا باستخدام مفتاح جلسة الخدمة. وتفك الخدمة تشفير تذكرة الخدمة باستخدام مفتاحها طويل الأمد، وتتحقق من المُوثِّق، ثم تصادق على العميل. ولا تُرسل كلمة المرور إلى الخدمة مطلقًا.

نطاق Kerberos هو مجال إداري يديره KDC واحد. وتُنشأ المصادقة بين النطاقات من خلال مفاتيح بينية مشتركة بين مراكز KDC التابعة لنطاقات مختلفة. وعندما يصل عميل في Realm A إلى خدمة في Realm B، يصدر KDC في Realm A تذكرة إحالة يقدمها العميل إلى KDC الخاص بـ Realm B.

تملك تذاكر Kerberos مدة صلاحية مُهيّأة، تبلغ عادةً 10 ساعات بالنسبة إلى TGTs، وبعد انتهائها يلزم إجراء مصادقة جديدة. ويمكن أيضًا تهيئة TGTs لتكون قابلة للتجديد، مما يتيح للعميل طلب TGT جديدة من KDC دون إعادة إدخال بيانات الاعتماد، حتى بلوغ الحد الأقصى لمدة التجديد.

يستخدم Kerberos نوعين من المفاتيح. تُشتق المفاتيح طويلة الأمد من كلمات مرور الحسابات، وتُستخدم فقط لتشفير أجزاء من رسائل المصادقة. أما مفاتيح الجلسات فتُتفاوض حديثًا لكل تبادل مصادقة، وتُستخدم في جلسة الاتصال الفعلية. ولا يؤدي اختراق مفتاح جلسة إلى كشف المفتاح طويل الأمد.

يوفر Kerberos مصادقة متبادلة، إذ يُتحقق من العميل والخدمة معًا، وحماية من إعادة التشغيل عبر الطوابع الزمنية والمُوثِّقات، وسرية مستقبلية للجلسات الفردية. ولا يكشف KDC المفاتيح طويلة الأمد أثناء التشغيل المعتاد. ويتمثل افتراض الثقة الأساسي في عدم اختراق KDC نفسه.

ما الغرض من تذكرة منح التذاكر (TGT) في Kerberos؟

يستخدم Kerberos مركز توزيع مفاتيح يضم مكوّني AS وTGS. وينتج عن تسجيل الدخول الحصول على TGT (عبر AS-REQ وAS-REP). ويتطلب الوصول إلى خدمة استبدال TGT بتذكرة خدمة (عبر TGS-REQ وTGS-REP). ثم تُقدَّم تذكرة الخدمة إلى الخدمة المستهدفة (عبر AP-REQ). ولا يستطيع قراءة التذاكر إلا KDC والخدمات المعنية. وتتيح النطاقات المصادقة بين المجالات عبر الثقة بين النطاقات.