协议_Kerberos_学科文库

协议_Kerberos

发布时间：2021-06-06

安全协议的课件

Internet安全协议与标准Kerberos协议张保稳 2013-7-9

安全协议的课件

本次课程教学安排

Kerberos协议原理 Windows下的Kerberos应用补充材料：sso,java+ Kerberos应用

安全协议的课件

Kerberos协议原理

安全协议的课件

Kerberos 协议

源自 Needham-Schroeder的一种认证协议. 软件 Kerberos V5. MIT Project Athena的产物 RFC 1510 – Kerberos V5 (1992). 集成到 Windows 2000+. 集成到Unix的多个版本以及应用中

安全协议的课件

基本概念

Principal(安全个体)

被认证的个体，有一个名字(name)和口令(password) 是一个网络服务，提供ticket和临时的会话密钥一个记录，客户可以用它来向服务器证明自己的身份，其中包括客户的标识、会话密钥、时间戳，以及其他一些信息。 Ticket 中的大多数信息都被加密，密钥为服务器的密钥

KDC(Key distribution center)

Ticket

Authenticator

一个记录，其中包含一些最近产生的信息，产生这些信息需要用到客户和服务器之间共享的会话密钥一个ticket加上一个秘密的会话密钥

Credentials

安全协议的课件

Kerberos Principals

Authentication Server (AS)

通过 long-term key认证客户 AS 给予客户 ticket granting ticket 和 short-

term key.

认证服务.通过 short-term key 和 ticket granting ticket认证客户. TGS 发放 tickets 给客户以访问其他的服务器. 授权和访问控制服务.

Ticket Granting Server (TGS)

安全协议的课件

动机

认证和授权的逻辑分离.

虽然AS和TGS物理上常在一起.

不同的生命周期： ticket granting tickets (typically 10 hours) , session tickets for actual access to services (typically 5 minutes). 方便客户. 降低密钥的暴露时间.

安全协议的课件

消息收发细节Phase 1: In messages 1 and 2, C and AS use long-term key to authenticate. AS gives C short-term key and ticket granting ticket (TGT). Phase 2: In messages 3 and 4, C and TGS use short-term key and ticket granting ticket to authenticate. TGS gives C session key and ticket. Phase 3: In messaged 5 and 6, C and S use session key and ticket to authenticate and set up secure session.Phases 2 and 3 will usually be repeated many times for each execution of Phase 1.

安全协议的课件

KDC数据库

KDC必需一个数据库，保存以下基本信息

Name: principal’s identifier Key: principal’s secret key P_kvno: principal’s key version Max_life: maximum lifetime for tickets Max_renewable_life:

其他的扩展fields 数据库的实现取决于具体的Kerberos实现，它可以与KDC位于不同的服务器，但是要保证安全性

安全协议的课件

Kerberos 安全机制

检查集 (Checksum) 加密系统 (Encryption)

检查集

加密系統

确认性功能：

隐秘与确认性功能：

CRC-32 RSA-MD4 RSA-MD5-DES RSA-MD5 RSA-MD5-DES DES-MAC RSA-MD4-DES-k DES-MAC-k

ull DES-CBC-CRC DES-CBC-MD4 DES-CBC-MD5

安全协议的课件

小结Kerberos

认证方法 :

本地机器录入密码经由中央 KDC 认证(1times/day) 网上不传输密码 KDC 给予票据TGT, 其作用一般维持一天的时间 TGT 可以用于获取其他的服务票据

Single Sign-on (via TGS):

安全协议的课件

Kerberos优点

密码不易被窃听密码不在网上传输密码猜测更困难 Single Sign-on

更便捷:一次使用口令登录不用记忆多个口令

票据被盗之后难以使用，因为需要配合认证头来使用。

安全协议的课件

Issues

缺乏撤销机制: ticket granting tickets valid until they expire, typically 10 hours. What if compromised? 密钥管理: within realms (domains): long-term keys need to be established between AS and TGS, TGS and Servers and AS and clients. 伸缩性: authentication across realms is complicated. 需要时钟同步, protected against attacks. Caches of recent messages to protect against replay within clock skew. 可用性: need for on-line AS and TGS, trusted by clients not to eavesdrop.

安全协议的课件

Issues

Kerberos server can impersonate anyone KDC could be a performance bottleneck

Everyone needs to communicate with it frequently Not a practical concern these days Having multiple KDC’s alleviates the problem

If local workstation is compromised, user’s password could be stolen by a trojan horse

Only use a desktop machine or laptop that you trust Use hardware token pre-authentication

Key storage: short-term keys and ticket granting tickets located on largely unprotected client hosts.

安全协议的课件

Issues

Passwords: in most deployments, the Client-AS longterm key KAS,C is usually based on password entered by user at start of session Kerberos vulnerable to dictionary attacks – paper by Wu at: /wu99realworld.html Ultimately, then, security is dependent on users and the quality of the passwords they can be persuaded to remember. Code Vulnerabilities: many found over the years. http://web.mit.edu/kerberos/www/advisories/

安全协议的课件

Windows下的Kerberos应用

安全协议的课件

Using Kerberos

MS Windows

Windows domain login 3rd party Kerberos tools

WRQ Reflection MIT Kerberos for Windows (KfW) Leash32 Exceed

Unix, Linux and Mac OS X

安全协议的课件

LinuxKerberos tools: kinit klist kdestroy k5push Clients: telnet, ssh, ftp rlogin, rsh,

安全协议的课件

windows