Характеристики протокола Kerberos

Одно из преимуществ протокола заключается в том, что клиент может быть аутентифицирован и получить доступ к серверу ресурсов вне своей области аутентификации — домена (англ. realm) — ЦРК2, при условии, что оба доверенных сервера ЦРК1 и ЦРК2, обслуживающих свои области, установили между собой доверительные отношения (определили общий ключ шифрования при пересылке данных между областями). В этом случае ЦРК2 выступает для клиента в качестве такого же сервера ресурсов, только удаленного и предоставляющего сервис трансляции запросов клиента подведомственным ему серверам ресурсов.

Более того, возможна ситуация, когда клиенту необходим ресурс из области, с которой у его ЦРК1 нет доверительных отношений, но ЦРК обеих областей имеют доверенные отношения с третьим ЦРКЗ. В этом случае клиент также может быть аутентифицирован на сервере вне своей области аутентификации (рис. 10).

Рис. 10. Схема работы с промежуточным доверенным сервером

Сам по себе протокол Kerberos служит только для аутентификации (то есть подтверждения, что клиент является тем, за кого себя выдает), но не для авторизации (определении того, в рамках каких прав клиент может работать). Однако он предусматривает в билете поле данных, необходимых для применения авторизационных правил системой, для которой клиент будет аутентифицирован.

Ограничение срока действия билета используется протоколом как одно из средств защиты от компрометации сессионного ключа. В течение срока действия билета клиент может применять (предъявлять) его неограниченное число раз. По истечении срока действия клиенту необходимо получить новый билет, основная задача которого — использовать новый сгенерированный ЦРК сессионный ключ. При этом клиенту придется снова задействовать свой долговременный ключ, т. е. пользователю снова придется набирать свой пароль.

Однако возможен другой способ — регенерация ключей без переформирования всего билета целиком. В этом случае в билете указываются два срока действия — первый, это срок до регенерации текущего ключа, второй — срок действия всего билета с учетом производимых регенераций ключей. Теперь клиенту необходимо позаботиться о том, чтобы билет был представлен ЦРК до срока истечения возможного обновления, и в этом случае билет будет обновлен (будет сгенерирован новый сессионный ключ и указано новое время истечения обновления).

Дата добавления: 2014-01-07