19、Kerberos网络认证协议深度解析

Kerberos网络认证协议深度解析

1. 引言

在开放的网络计算环境中，用户能够获取各种信息资源和服务，如远程主机、文件服务器、打印机等。然而，当用户请求使用网络服务时，服务提供商需要确保用户的身份真实性。传统的身份验证方式，如使用多个不同的加密保证（记忆各种密码或持有多张智能卡）既不现实也不经济，而且未加密的密码在网络传输中容易遭受“嗅探”攻击。为解决这些网络安全问题，麻省理工学院（MIT）引入了Kerberos协议。

2. Kerberos概述

2.1 基本概念

Kerberos是MIT雅典娜项目的一部分，旨在通过不安全的网络连接为客户端和服务器提供强大的身份验证。它基于传统加密（私钥加密）而非公钥加密，PKINIT是Kerberos 5的扩展，增加了公钥认证和一定的复杂性。

在基本的Kerberos中，会话通常从用户登录系统开始，触发客户端进程处理所有身份验证请求。客户端进程与三种主要角色交互：认证服务器（AS）、票据授予服务器（TGS）和应用服务器（S）。AS和TGS共同构成密钥分发中心（KDC）。

2.2 相关术语

术语	定义
Realm	用于分组用户账户，代表一个单一的Kerberos管理域，包含至少一个Kerberos服务器、多个客户端和多个应用服务器。
Key Distribution Center (KDC)