什么叫kerberos

Posted 2023-04-24

Kerberos的原理 - MIT
Kerberos是一个重要的认证协议,它为互不相识的通信双方做安全的认证工作。Kerberos这个名字的原义是希腊神话中守卫冥王大门的长有三头的看门狗。

Kerberos是一种网络认证协议(Network Authentication Protocol) ，其设计目标是通过密钥系统为客户机 / 服务器应用程序提供强大的认证服务。该认证过程的实现不依赖于主机操作系统的认证，无需基于主机地址的信任，不要求网络上所有主机的物理安全，并假定网络上传送的数据包可以被任意地读取、修改和插入数据。
在以上情况下， Kerberos 作为一种可信任的第三方认证服务，是通过传统的密码技术(如:共享密钥)执行认证服务的。
认证过程具体如下：客户机向认证服务器(AS)发送请求，要求得到某服务器的证书，然后 AS 的响应包含这些用客户端密钥加密的证书。
证书的构成为:
1、服务器 "ticket" ;
2、一个临时加密密钥(又称为会话密钥 "session key") 。
客户机将 ticket (包括用服务器密钥加密的客户机身份和一份会话密钥的拷贝)传送到服务器上。会话密钥可以(现已经由客户机和服务器共享)用来认证客户机或认证服务器，也可用来为通信双方以后的通讯提供加密服务，或通过交换独立子会话密钥为通信双方提供进一步的通信加密服务。 参考技术A Kerberos是由美国麻省理工学院提出的基于可信赖的第三方的认证系统。Kerberos提供了一种在开放式网络环境下进行身份认证的方法,它使网络上的用户可以相互证明自己的身份。

Kerberos采用对称密钥体制对信息进行加密。其基本思想是：能正确对信息进行解密的用户就是合法用户。用户在对应用服务器进行访问之前，必须先从第三方（Kerberos服务器）获取该应用服务器的访问许可证（ticket）。本回答被提问者采纳

Kerberos 学习笔记

最近在工作中调试vmware  identity manager 产品的SSO功能，有机会深入了解了一下Kerberos的工作原理，随笔记录一下，以作将来回顾之用。

什么是Kerberos，参看wiki- https://en.wikipedia.org/wiki/Kerberos_(protocol)。简单说Kerberos是一种网络认证协议，它是通过使用秘钥加密的方式来提供客户端，服务器程序之间的安全认证。例如，微软Windows2000以后的系统认证过程就是基于Kerberos的。

为什么叫Kerberos，Kerberos传说是希腊神话中的守护地狱的一条有三个头的大狗，貌似在哈利波特第一部<哈利波特与魔法石>也有一只三头狗。三个头代表了Kerberos协议中的三方，Client,Server和KDC.

图片出处：  http://mccltd.net/blog/?p=1053

 

网上对Kerberos的协议介绍有好多，http://blog.csdn.net/wulantian/article/details/42418231这篇博客是讲的比较透彻深入的，然而读下来恐怕还是比较烧脑，时间一长恐怕也就忘记了。本文中对Kerberos的介绍会通过一个简单的例子来进行，来帮助粗线条地理解Kerberos的认证方式，会和具体的协议细节有所差异。

我们假设一个场景，战争年代，有两个地下工作者张三，李四在被派到某处从事秘密工作，现在张三因为工作需要，找到了开酒馆掩护身份的酒馆老板李四，张三现在要做的事情，就是向李四证明我就是张三，不是钓鱼执法的，这是一个典型的认证的过程。

那怎么做呢？张三，李四的派出机构早就给他们设计好了认证过程，在这里的派出机构就是Kerberos协议中的KDC，比如微软的AD域服务器。在两人出发之前，发给了每个人一把钥匙(对应用户密码或者密码hash数值)，派出机构也保留了一把备用钥匙(AD域服务器上保存着每个域用户的密码或者密码hash数值)。张三，李四就分别对应client和server了。

1.      张三要向派出机构报告一下：我要和李四接头，给我一个接头暗号呗。

2.      派出机构收到张三要和李四接头的请求以后，就发了两个小盒子给张三，并且上了锁，只能用两人自己的钥匙才能打开。
第一个盒子里面有一张纸条写着接头暗号：宝塔镇河妖。张三的钥匙可以打开这个盒子
第二个盒子里面有两张纸条，一张纸条也写着接头暗号:宝塔镇河妖。第二张纸条写着：来人是张三。

3.      张三收到两个小盒子以后，就用自己的钥匙打开了第一个小盒子，看到接头暗号：宝塔镇河妖。

4.      然后张三就带着第二个盒子去找开酒馆的李四了，见到李四，张三把第二个盒子交给李四，并且说出了接头暗号：宝塔镇河妖，并且宣称自己是张三。

5.      李四用自己的钥匙打开了张三带给他的盒子，看到了接头暗号是宝塔镇河妖。然后又看到另外一张纸条上写着来人是张三。嗯，都对得上。他就是张三，那现在先把酒摆上喝点，咱们谈谈下一步的工作安排吧。

这个例子用来讲述Kerberos的基本的工作原理，当然Kerberos协议要比这个例子复杂的多。所以您可千万别较真，要是我钥匙丢了怎么办，有人把小盒子掉一个包之类的，该怎么办？这些就是Kerberos协议要进一步解决的问题了，就需要您自己去看Kerberos协议的细节了。

 

关于作者：Sam Zhao，EUC解决方案部门经理。在软件开发，测试，项目管理方面有13年IT从业经历，发表过五个专利以及合著书一部

本文出自 “VMware终端用户计算” 博客，转载请与作者联系！