Kerberos आर्किटेक्चर और टिकट प्रवाह

Kerberos को 1980 के दशक में MIT में Project Athena के हिस्से के रूप में वितरित कंप्यूटिंग परिवेश के लिए सुरक्षित नेटवर्क प्रमाणीकरण प्रदान करने हेतु विकसित किया गया था। अधोलोक की रक्षा करने वाले तीन सिर वाले कुत्ते के नाम पर रखा गया Kerberos, एक विश्वसनीय तृतीय पक्ष, कुंजी वितरण केंद्र, का उपयोग करके क्लाइंटों और सेवाओं के बीच पारस्परिक प्रमाणीकरण प्रदान करता है।

KDC के दो तार्किक घटक होते हैं: प्रमाणीकरण सेवा (AS) और टिकट प्रदान करने वाली सेवा (TGS)। Microsoft Active Directory में दोनों डोमेन नियंत्रक पर चलते हैं। AS प्रारंभिक लॉगिन संभालता है और Ticket Granting Ticket (TGT) जारी करता है। TGS विशिष्ट सेवाओं तक पहुँचने के लिए सेवा टिकट जारी करता है।

क्लाइंट प्रमाणीकरण सेवा को AS-REQ भेजकर प्रमाणीकरण शुरू करता है। आधुनिक Kerberos में पूर्व-प्रमाणीकरण आवश्यक है: कूटशब्द से प्राप्त अपनी दीर्घकालिक कुंजी से क्लाइंट एक समय-मुहर को कूटबद्ध करता है, ताकि यह सिद्ध हो सके कि उसे कूटशब्द पता है। इससे असुरक्षित AS-REQ संदेशों के विरुद्ध ऑफ़लाइन शब्दकोश हमले रोके जाते हैं।

AS पूर्व-प्रमाणीकरण डेटा का सत्यापन करके AS-REP भेजता है। इसमें krbtgt खाते की दीर्घकालिक कुंजी से कूटबद्ध Ticket Granting Ticket (TGT), जिसे क्लाइंट कूटविकूट नहीं कर सकता, और क्लाइंट की दीर्घकालिक कुंजी से कूटबद्ध एक सत्र कुंजी होती है। क्लाइंट केवल अपने हिस्से को कूटविकूट करके TGS सत्र कुंजी प्राप्त करता है।

जब क्लाइंट किसी सेवा तक पहुँचना चाहता है, तो वह Ticket Granting Service को TGS-REQ भेजता है। इसमें पहचान के प्रमाण के रूप में TGT और TGS सत्र कुंजी से कूटबद्ध एक प्रमाणक शामिल होता है। क्लाइंट की पहचान सत्यापित करने के लिए TGS krbtgt कुंजी से TGT को कूटविकूट करता है।

TGS लक्ष्य सेवा की दीर्घकालिक कुंजी से कूटबद्ध एक सेवा टिकट और क्लाइंट के लिए कूटबद्ध एक नई सत्र कुंजी भेजता है। क्लाइंट सेवा टिकट की सामग्री नहीं पढ़ सकता; वह केवल अपने लिए कूटबद्ध भाग पढ़ सकता है। यह सेवा टिकट सेवा के समक्ष क्लाइंट की पहचान सिद्ध करता है।

क्लाइंट लक्ष्य सेवा को AP-REQ भेजता है। इसमें सेवा टिकट और सेवा सत्र कुंजी से कूटबद्ध एक नया प्रमाणक शामिल होता है। सेवा अपनी दीर्घकालिक कुंजी से सेवा टिकट को कूटविकूट करती है, प्रमाणक का सत्यापन करती है और क्लाइंट का प्रमाणीकरण करती है। सेवा को कभी कोई कूटशब्द नहीं भेजा जाता।

Kerberos क्षेत्र एक ऐसा प्रशासनिक डोमेन है, जिसका प्रबंधन एकल KDC करता है। विभिन्न क्षेत्रों के KDC के बीच साझा की गई अंतर-क्षेत्र कुंजियों के माध्यम से अंतर-क्षेत्र प्रमाणीकरण स्थापित किया जाता है। जब क्षेत्र A का कोई क्लाइंट क्षेत्र B की सेवा तक पहुँचता है, तो क्षेत्र A का KDC एक संदर्भ टिकट जारी करता है, जिसे क्लाइंट क्षेत्र B के KDC के समक्ष प्रस्तुत करता है।

Kerberos टिकटों की एक निर्धारित वैधता-अवधि होती है (TGT के लिए सामान्यतः 10 घंटे), जिसके बाद वे समाप्त हो जाते हैं और नए प्रमाणीकरण की आवश्यकता होती है। TGT को नवीकरणीय भी बनाया जा सकता है, जिससे क्लाइंट अधिकतम नवीकरणीय अवधि तक कूटशब्द दोबारा दर्ज किए बिना KDC से नया TGT माँग सकता है।

Kerberos दो प्रकार की कुंजियों का उपयोग करता है। दीर्घकालिक कुंजियाँ खातों के कूटशब्दों से प्राप्त होती हैं और केवल प्रमाणीकरण संदेशों के कुछ भागों को कूटबद्ध करने के लिए उपयोग की जाती हैं। प्रत्येक प्रमाणीकरण विनिमय के लिए सत्र कुंजियाँ नए सिरे से तय की जाती हैं और वास्तविक संचार सत्र में उपयोग होती हैं। सत्र कुंजी के उजागर होने से दीर्घकालिक कुंजी उजागर नहीं होती।

Kerberos पारस्परिक प्रमाणीकरण (क्लाइंट और सेवा दोनों का सत्यापन), पुनर्प्रेषण से सुरक्षा (समय-मुहरों और प्रमाणकों के माध्यम से) और अलग-अलग सत्रों की आगे की गोपनीयता प्रदान करता है। सामान्य संचालन के दौरान KDC कभी भी दीर्घकालिक कुंजियाँ उजागर नहीं करता। मुख्य विश्वास-धारणा यह है कि स्वयं KDC से छेड़छाड़ नहीं हुई है।

Kerberos AS और TGS घटकों वाले KDC का उपयोग करता है। लॉगिन से TGT प्राप्त होता है (AS-REQ/AS-REP)। सेवा तक पहुँचने के लिए TGT को सेवा टिकट से बदलना पड़ता है (TGS-REQ/TGS-REP)। सेवा टिकट लक्ष्य सेवा के समक्ष प्रस्तुत किया जाता है (AP-REQ)। केवल KDC और संबंधित सेवाएँ ही टिकट पढ़ सकती हैं। क्षेत्र, अंतर-क्षेत्र विश्वास के माध्यम से अंतर-डोमेन प्रमाणीकरण की सुविधा देते हैं।