สถาปัตยกรรมเคอร์เบอรอสและลำดับการส่งตั๋ว

Kerberos ได้รับการพัฒนาที่ MIT ในฐานะส่วนหนึ่งของโครงการ Project Athena ช่วงทศวรรษ 1980 เพื่อให้มีการยืนยันตัวตนเครือข่ายอย่างปลอดภัยสำหรับสภาพแวดล้อมการประมวลผลแบบกระจาย โดยตั้งชื่อตามสุนัขสามหัวผู้เฝ้าปรโลก ระบบนี้มอบการยืนยันตัวตนซึ่งกันและกันระหว่างไคลเอ็นต์กับบริการ โดยใช้บุคคลที่สามที่เชื่อถือได้ นั่นคือศูนย์กระจายกุญแจ

KDC มีองค์ประกอบเชิงตรรกะสองส่วน ได้แก่ บริการยืนยันตัวตน (AS) และบริการออกตั๋ว (TGS) ใน Microsoft Active Directory บริการทั้งสองทำงานอยู่บนตัวควบคุมโดเมน AS จัดการการเข้าสู่ระบบครั้งแรกและออกตั๋วอนุญาตออกตั๋ว (TGT) ส่วน TGS ออกตั๋วบริการสำหรับการเข้าถึงบริการเฉพาะ

ไคลเอ็นต์เริ่มการยืนยันตัวตนด้วยการส่ง AS-REQ ไปยังบริการยืนยันตัวตน Kerberos สมัยใหม่กำหนดให้มีการยืนยันตัวตนล่วงหน้า ไคลเอ็นต์จะเข้ารหัสการประทับเวลาด้วยกุญแจระยะยาวของตน ซึ่งได้มาจากรหัสผ่าน เพื่อพิสูจน์ว่าทราบรหัสผ่าน วิธีนี้ป้องกันการโจมตีแบบพจนานุกรมแบบออฟไลน์ต่อข้อความ AS-REQ ที่ไม่ได้รับการป้องกัน

AS จะตรวจสอบข้อมูลการยืนยันตัวตนล่วงหน้าและตอบกลับด้วย AS-REP ซึ่งมีตั๋วอนุญาตออกตั๋ว (TGT) ที่เข้ารหัสด้วยกุญแจระยะยาวของบัญชี krbtgt (ซึ่งไคลเอ็นต์ไม่สามารถถอดรหัสได้) และมีกุญแจเซสชันที่เข้ารหัสด้วยกุญแจระยะยาวของไคลเอ็นต์ ไคลเอ็นต์จะถอดรหัสเฉพาะส่วนของตนเพื่อรับกุญแจเซสชันของ TGS

เมื่อไคลเอ็นต์ต้องการเข้าถึงบริการ ไคลเอ็นต์จะส่ง TGS-REQ ไปยังบริการออกตั๋ว โดยรวม TGT (เพื่อใช้เป็นหลักฐานยืนยันตัวตน) และตัวรับรองที่เข้ารหัสด้วยกุญแจเซสชันของ TGS ไว้ด้วย TGS จะถอดรหัส TGT ด้วยกุญแจ krbtgt เพื่อตรวจสอบตัวตนของไคลเอ็นต์

TGS จะตอบกลับด้วยตั๋วบริการที่เข้ารหัสด้วยกุญแจระยะยาวของบริการเป้าหมาย พร้อมกุญแจเซสชันใหม่ที่เข้ารหัสสำหรับไคลเอ็นต์ ไคลเอ็นต์ไม่สามารถอ่านเนื้อหาของตั๋วบริการได้ แต่อ่านได้เฉพาะส่วนที่เข้ารหัสสำหรับตนเท่านั้น ตั๋วบริการนี้ใช้พิสูจน์ตัวตนของไคลเอ็นต์ต่อบริการ

ไคลเอ็นต์ส่ง AP-REQ ไปยังบริการเป้าหมาย โดยรวมตั๋วบริการและตัวรับรองใหม่ที่เข้ารหัสด้วยกุญแจเซสชันของบริการไว้ด้วย บริการจะถอดรหัสตั๋วบริการด้วยกุญแจระยะยาวของตนเอง ตรวจสอบตัวรับรอง และยืนยันตัวตนของไคลเอ็นต์ จะไม่มีการส่งรหัสผ่านไปยังบริการไม่ว่าในกรณีใด

เรล์ม Kerberos คือขอบเขตการดูแลระบบที่จัดการโดย KDC เพียงแห่งเดียว การยืนยันตัวตนข้ามเรล์มจัดตั้งขึ้นผ่านกุญแจระหว่างเรล์มที่ใช้ร่วมกันระหว่าง KDC ของเรล์มต่าง ๆ เมื่อไคลเอ็นต์ในเรล์ม A เข้าถึงบริการในเรล์ม B KDC ในเรล์ม A จะออกตั๋วส่งต่อให้ไคลเอ็นต์นำไปแสดงต่อ KDC ของเรล์ม B

ตั๋ว Kerberos มีอายุการใช้งานที่กำหนดค่าไว้ โดยทั่วไป TGT มีอายุ 10 ชั่วโมง หลังจากนั้นตั๋วจะหมดอายุและต้องยืนยันตัวตนใหม่ นอกจากนี้ยังสามารถกำหนดให้ TGT ต่ออายุได้ ทำให้ไคลเอ็นต์ขอ TGT ใหม่จาก KDC โดยไม่ต้องป้อนข้อมูลรับรองอีกครั้ง จนกว่าจะถึงอายุการใช้งานสูงสุดที่ต่ออายุได้

Kerberos ใช้กุญแจสองประเภท กุญแจระยะยาวได้มาจากรหัสผ่านของบัญชี และใช้เข้ารหัสเฉพาะบางส่วนของข้อความยืนยันตัวตนเท่านั้น ส่วนกุญแจเซสชันจะถูกเจรจาใหม่สำหรับการแลกเปลี่ยนการยืนยันตัวตนแต่ละครั้ง และใช้กับเซสชันการสื่อสารจริง การที่กุญแจเซสชันถูกเปิดเผยจะไม่ทำให้กุญแจระยะยาวถูกเปิดเผย

Kerberos มอบการยืนยันตัวตนซึ่งกันและกัน (ตรวจสอบทั้งไคลเอ็นต์และบริการ) การป้องกันการเล่นซ้ำ (ผ่านการประทับเวลาและตัวรับรอง) และการรักษาความลับล่วงหน้าของแต่ละเซสชัน KDC จะไม่เปิดเผยกุญแจระยะยาวระหว่างการทำงานตามปกติ สมมติฐานหลักด้านความไว้วางใจคือ KDC เองจะต้องไม่ถูกเจาะ

ตั๋วอนุญาตออกตั๋ว (TGT) ใน Kerberos มีจุดประสงค์ใด

Kerberos ใช้ KDC ที่มีองค์ประกอบ AS และ TGS การเข้าสู่ระบบจะสร้าง TGT (AS-REQ/AS-REP) การเข้าถึงบริการต้องแลก TGT เป็นตั๋วบริการ (TGS-REQ/TGS-REP) จากนั้นนำตั๋วบริการไปแสดงต่อบริการเป้าหมาย (AP-REQ) เฉพาะ KDC และบริการที่เกี่ยวข้องเท่านั้นที่อ่านตั๋วได้ เรล์มช่วยให้ยืนยันตัวตนข้ามโดเมนได้ผ่านความไว้วางใจระหว่างเรล์ม