Architektura Kerberos i przepływ biletów

Kerberos został opracowany w MIT w ramach projektu Athena w latach 80. XX wieku, aby zapewnić bezpieczne uwierzytelnianie sieciowe w rozproszonym środowisku obliczeniowym. Nazwa pochodzi od trójgłowego psa strzegącego podziemi. Kerberos zapewnia wzajemne uwierzytelnianie klientów i usług za pomocą zaufanej strony trzeciej: centrum dystrybucji kluczy.

KDC składa się z dwóch logicznych elementów: usługi uwierzytelniania (AS) i usługi przyznawania biletów (TGS). W Microsoft Active Directory obie usługi działają na kontrolerze domeny. AS obsługuje początkowe logowanie i wydaje bilety przyznawania biletów (TGT). TGS wydaje bilety usługowe umożliwiające dostęp do konkretnych usług.

Klient rozpoczyna uwierzytelnianie, wysyłając żądanie AS-REQ do usługi uwierzytelniania. Współczesny Kerberos wymaga wstępnego uwierzytelniania: klient szyfruje znacznik czasu swoim kluczem długoterminowym (wyprowadzonym z hasła), aby udowodnić znajomość hasła. Zapobiega to słownikowym atakom offline na niechronione komunikaty AS-REQ.

AS weryfikuje dane wstępnego uwierzytelniania i odpowiada komunikatem AS-REP zawierającym bilet przyznawania biletów (TGT) zaszyfrowany kluczem długoterminowym konta krbtgt (którego klient nie może odszyfrować) oraz klucz sesji zaszyfrowany kluczem długoterminowym klienta. Klient odszyfrowuje tylko przeznaczoną dla siebie część, aby uzyskać klucz sesji TGS.

Gdy klient chce uzyskać dostęp do usługi, wysyła żądanie TGS-REQ do usługi przyznawania biletów, dołączając TGT (jako dowód tożsamości) oraz uwierzytelniacz zaszyfrowany kluczem sesji TGS. TGS odszyfrowuje TGT za pomocą klucza krbtgt, aby zweryfikować tożsamość klienta.

TGS odpowiada biletem usługowym zaszyfrowanym kluczem długoterminowym docelowej usługi oraz nowym kluczem sesji zaszyfrowanym dla klienta. Klient nie może odczytać zawartości biletu usługowego, a jedynie przeznaczoną dla siebie zaszyfrowaną część. Bilet usługowy potwierdza tożsamość klienta wobec usługi.

Klient wysyła żądanie AP-REQ do docelowej usługi, dołączając bilet usługowy oraz nowy uwierzytelniacz zaszyfrowany kluczem sesji usługi. Usługa odszyfrowuje bilet usługowy za pomocą własnego klucza długoterminowego, weryfikuje uwierzytelniacz i uwierzytelnia klienta. Hasło nigdy nie jest wysyłane do usługi.

Obszar Kerberos to domena administracyjna zarządzana przez pojedyncze KDC. Uwierzytelnianie między obszarami jest ustanawiane za pomocą kluczy międzyobszarowych współdzielonych przez KDC różnych obszarów. Gdy klient w obszarze A uzyskuje dostęp do usługi w obszarze B, KDC w obszarze A wydaje bilet przekierowania, który klient przedstawia KDC obszaru B.

Bilety Kerberos mają skonfigurowany czas życia (zwykle 10 godzin w przypadku TGT), po którego upływie wygasają i wymagane jest ponowne uwierzytelnienie. TGT można również skonfigurować jako odnawialne, dzięki czemu klient może zażądać od KDC nowego TGT bez ponownego wprowadzania danych uwierzytelniających, aż do osiągnięcia maksymalnego czasu odnawiania.

Kerberos używa dwóch rodzajów kluczy. Klucze długoterminowe są wyprowadzane z haseł kont i służą wyłącznie do szyfrowania części komunikatów uwierzytelniania. Klucze sesji są negocjowane od nowa dla każdej wymiany uwierzytelniającej i służą do właściwej komunikacji w ramach sesji. Złamanie klucza sesji nie ujawnia klucza długoterminowego.

Kerberos zapewnia wzajemne uwierzytelnianie (weryfikowani są zarówno klient, jak i usługa), ochronę przed powtórzeniem (dzięki znacznikom czasu i uwierzytelniaczom) oraz forward secrecy poszczególnych sesji. Podczas normalnego działania KDC nigdy nie ujawnia kluczy długoterminowych. Główne założenie zaufania jest takie, że samo KDC nie zostanie przejęte.

Do czego służy bilet przyznawania biletów (TGT) w systemie Kerberos?

Kerberos korzysta z KDC zawierającego komponenty AS i TGS. Logowanie powoduje uzyskanie TGT (AS-REQ/AS-REP). Dostęp do usługi wymaga wymiany TGT na bilet usługowy (TGS-REQ/TGS-REP). Bilet usługowy jest przedstawiany docelowej usłudze (AP-REQ). Tylko KDC i odpowiednie usługi mogą odczytywać bilety. Obszary umożliwiają uwierzytelnianie między domenami dzięki zaufaniu międzyobszarowemu.