Kerberos认证步骤

Kerberos的特点

Kerberos是一个Authentication协议，也就是说它的目的是判断某个client/server是否就是它声称的client/server。

Kerberos协议避免了用户的密码以明文的形式被传输，避免了密码被截获的危险。而且使用的是一种短期的Key，由于这种Key只在一段时间内有效，即使加密的数据包被恶意的网络监听者截获，等他把Key计算出来的时候，这个Key早就已经过期了。

Kerberos中的角色除了client和server，还引入了一个第三方：KDC（Kerberos Distribution Center）。从逻辑上KDC分成三部分：数据库，认证服务器(Authentication Server)和票据分发服务器(Ticket Granting Server)。后面将会进行更详细的介绍。

一旦Client从KDC获得用于访问某个Server的Ticket，之后该Server就能根据这个Ticket实现对Client的验证，而无须KDC的再次参与。

Kerberos 认证步骤

Kerberos认证步骤

1． Authentication Service Exchange

步骤1.

Client向KDC的Authentication Service发送Authentication Service Request（KRB_AS_REQ）。内容包含：

Pre-authentication data：包含用以证明自己身份的信息。就是证明自己知道自己声称的那个account的Password。一般地，它的内容是一个被Client的Master key加密过的Timestamp。
Client name & realm
KDC的Ticket Granting Service的Server Name。

步骤2.

AS（Authentication Service）通过它接收到的KRB_AS_REQ验证发送方的是否是在Client name & realm中声称的那个人，也就是说要验证发送放是否知道Client的Password。所以AS只需从Account Database中提取Client对应的Master Key对Pre-authentication data进行解密，如果是一个合法的Timestamp，则可以证明发送方提供的是正确无误的密码。

验证通过之后，AS将一份Authentication Service Response（KRB_AS_REP）发送给Client。KRB_AS_REQ主要包含两个部分：

被Client的Master Key加密过的Logon Session Key
被自己（KDC）的Key加密过的TGT。TGT主要包含三部分内容：

（1）Logon Session Key（2）Client name & realm （3）End Time：TGT的到期时间

Client通过自己的Master Key对第一部分解密获得Logon Session Key之后，携带着TGT便可以进入下一步：TGS（Ticket Granting Service）Exchange。

2． TGS（Ticket Granting Service）Exchange

步骤3.

Client向KDC中的TGS（Ticket Granting Service）发送Ticket Granting Service Request（KRB_TGS_REQ），内容包括：

TGT：Client通过AS Exchange获得的被KDC Key加密的Ticket Granting Ticket。
Authenticator：用以证明当初TGT的拥有者是否就是自己，所以它用Logon Session Key来进行加密。内容包括：
（1）Client Info （2）Timestamp
Client name & realm
Server name & realm：这是Client试图访问的那个Server

步骤4.

TGS先通过自己的Master Key对Client提供的TGT进行解密，从而获得这个Logon Session Key。再通过这个Logon Session Key解密Authenticator进行验证。

验证通过向对方发送Ticket Granting Service Response（KRB_TGS_REP）。内容包括：

使用Logon Session Key加密过的Session Key。该Session Key 将被用于Client和Server的认证
使用Server的Master Key进行加密的Ticket。该Ticket大体包含：

（1）Session Key （2）Client name & realm（3）End Time：Ticket的到期时间

Client收到KRB_TGS_REP，使用Logon Session Key解密第一部分后获得Session Key。有了Session Key和Ticket，Client就可以之间和Server进行交互，而无须在通过KDC作中间人了。所以我们说Kerberos是一种高效的认证方式，它可以直接通过Client和Server双方来完成。

3. CS（Client/Server ）Exchange

步骤5.

Client向Server发送KRB_AP_REQ，内容包括：

Ticket：Client 通过TGS Exchange获得的被Server Key加密的Ticket
Authenticator：用以证明Ticket的拥有者是否就是自己，所以用Session Key进行加密。内容包括：（1）Client Info（2）Timestamp
Flag：用于表示Client是否需要进行双向验证

步骤6.

Server接收到KRB_AP_REQ之后，通过自己的Master Key解密Ticket，从而获得Session Key（SServer-Client）。通过Session Key（SServer-Client）解密Authenticator，进而验证对方的身份。验证成功，让Client访问需要访问的资源，否则直接拒绝对方的请求。

对于需要进行双向验证，Server从Authenticator提取Timestamp，使用Session Key（SServer-Client）进行加密，并将其发送给Client用于Client验证Server的身份。

Kerberos协议的一些术语

Principal：

Principal是用来表示参加认证实体，相当于用户名，用来来表示一个client或server唯一的身份。Principal是由三个部分组成：名字（name），实例（instance，这部分可选），REALM（域）。格式是：name/instance@REALM 。

name：

可以是任意的字符串，比如说可能是操作系统下的用户名等。

instance

定义了用户在不同的role下使用的priciple，或者是在host在不同的service上运行时使用的principle。

realm

realm从逻辑上定义了一组object。每个realm可以有私有的配置，包括KDC的地址和加密算法等。大型公司会给公司内不同的团队创建不同的realm。

KDC数据库

KDC数据库存储了它所有用户(包括client和server)的entry。我们用principal来引用一个entry，。每个entry包括以下的信息：

与entry相关联的principal
principlal的master key
与这个principal相关联的ticket最长可用时间
与这个principal相关联的ticket的最长的renew时间(译注：是指这个ticket通过renew机制累计可55. 用的时间)(只在kerberos 5中可用)
决定这个ticket的具体行为的属性和标志位。
Master key过期时间
这个principal的过期时间，在此之后就不为这个principal分发ticket了。

为了使得窃取数据库中的密钥更加因难，Kerberos的实现们使用master key来对数据库进行加密，master key被关联在K/M@REALM这个principal上。即使是数据库的dump,备份和master KDC到salve KDC的propagation也会被用这个密钥加密，因此，如果想要重新加载它们，就必须知道这个密钥。

Keytab

Keytab是一个存储于client或server端的文本文件，包含了kerberos principle和该principle的master key。所以这个文件需要很小心地保存。

下一节将会安装并配置一个kerberos KDC和client，来帮助更好地理解kerberos，熟悉kerberos的基本命令。