信息安全技术知识：Kerberos协议的工作过程
source: http://www.cnitpm.com/pm1/40088.html
信息安全技术知识：Kerberos协议的工作过程
Kerberos协议的工作过程
·Kerberos基本思想
采用对称密钥体制对信息进行加密，能正确对信息进行解密的用户就是合法用户。用户在对应用服务器进行访问之前，必须先从第三方（Kerberos 服务器）获取该应用服务器的访问许可证（ticket）。
·认证服务器AS(Authentication Server)
·许可证颁发服务器TGS(Ticket Granting Server
图7.3 Kerberos的认证过程
①用户想要获取访问某一应用服务器的许可证时，先以明文方式向认证服务器AS发出请求，要求获得访问TGS的许可证。
②AS以证书（credential）作为响应，证书包括访问TGS的许可证和用户与TGS间的会话密钥。会话密钥以用户的密钥加密后传输。
③用户解密得到TGS的响应，然后利用TGS的许可证向TGS申请应用服务器的许可证，该申请包括TGS的许可证和一个带有时间戳的认证符（authenticator）。认证符以用户与TGS间的会话密钥加密。
④TGS从许可证中取出会话密钥、解密认证符，验证认证符中时间戳的有效性，从而确定用户的请求是否合法。TGS确认用户的合法性后，生成所要求的应用服务器的许可证，许可证中含有新产生的用户与应用服务器之间的会话密钥。TGS将应用服务器的许可证和会话密钥传回到用户。
⑤用户向应用服务器提交应用服务器的许可证和用户新产生的带时间戳的认证符（认证符以用户与应用服务器之间的会话密钥加密）。
⑥应用服务器从许可证中取出会话密钥、解密认证符，取出时间戳并检验有效性。然后向用户返回一个带时间戳的认证符，该认证符以用户与应用服务器之间的会话密钥进行加密。据此，用户可以验证应用服务器的合法性。
Kerberos的主要优点：
通过对实体和服务的统一管理实现单一注册，也就是说用户通过在网络中的一个地方的一次登录就可以使用网络上他可以获得的所有资源。
Kerberos存在的问题：
①Kerberos服务器的损坏将使得整个安全系统无法工作；
②AS在传输用户与TGS间的会话密钥时是以用户密钥加密的，而用户密钥是由用户口令生成的，因此可能受到口令猜测的攻击；
③Kerberos使用了时间戳，因此存在时间同步问题；
④要将Kerberos用于某一应用系统，则该系统的客户端和服务器端软件都要作一定的修改。
·Kerberos基本思想
采用对称密钥体制对信息进行加密，能正确对信息进行解密的用户就是合法用户。用户在对应用服务器进行访问之前，必须先从第三方（Kerberos 服务器）获取该应用服务器的访问许可证（ticket）。
·认证服务器AS(Authentication Server)
·许可证颁发服务器TGS(Ticket Granting Server
图7.3 Kerberos的认证过程
①用户想要获取访问某一应用服务器的许可证时，先以明文方式向认证服务器AS发出请求，要求获得访问TGS的许可证。
②AS以证书（credential）作为响应，证书包括访问TGS的许可证和用户与TGS间的会话密钥。会话密钥以用户的密钥加密后传输。
③用户解密得到TGS的响应，然后利用TGS的许可证向TGS申请应用服务器的许可证，该申请包括TGS的许可证和一个带有时间戳的认证符（authenticator）。认证符以用户与TGS间的会话密钥加密。
④TGS从许可证中取出会话密钥、解密认证符，验证认证符中时间戳的有效性，从而确定用户的请求是否合法。TGS确认用户的合法性后，生成所要求的应用服务器的许可证，许可证中含有新产生的用户与应用服务器之间的会话密钥。TGS将应用服务器的许可证和会话密钥传回到用户。
⑤用户向应用服务器提交应用服务器的许可证和用户新产生的带时间戳的认证符（认证符以用户与应用服务器之间的会话密钥加密）。
⑥应用服务器从许可证中取出会话密钥、解密认证符，取出时间戳并检验有效性。然后向用户返回一个带时间戳的认证符，该认证符以用户与应用服务器之间的会话密钥进行加密。据此，用户可以验证应用服务器的合法性。
Kerberos的主要优点：
通过对实体和服务的统一管理实现单一注册，也就是说用户通过在网络中的一个地方的一次登录就可以使用网络上他可以获得的所有资源。
Kerberos存在的问题：
①Kerberos服务器的损坏将使得整个安全系统无法工作；
②AS在传输用户与TGS间的会话密钥时是以用户密钥加密的，而用户密钥是由用户口令生成的，因此可能受到口令猜测的攻击；
③Kerberos使用了时间戳，因此存在时间同步问题；
④要将Kerberos用于某一应用系统，则该系统的客户端和服务器端软件都要作一定的修改。
