Kerberos认证是什么？

身份验证是指验证用户或信息的真实身份的过程，这样接收方才能确保消息确实来自可信的来源。

Kerberos是一种由麻省理工学院开发的网络认证协议。该协议采用了一种名为“对称密钥加密”的加密技术，同时还使用了密钥分发中心来进行密钥的分配。虽然Kerberos在数字化世界中被广泛使用，但它主要被应用于那些需要可靠验证和安全性的系统中。Kerberos被用于Posix认证机制中，同时也被广泛应用于Active Directory、NFS和Samba等系统中。此外，它还是SSH、POP和SMTP等通信协议的另一种认证方式。

Kerberos被广泛使用，尤其是在与微软操作系统一起使用时。 它的名字来源于传说中那只拥有三只头的狗，据说这只狗负责守护哈迪斯的城门。 这个系统有点复杂，但基本流程如下：当用户登录时，认证服务器会验证用户的身份，然后与票据颁发服务器进行通信。 这些通常都位于同一台机器上。票证发放服务器会将加密后的“票证”发送到用户的机器上。 该票证表明该用户已成功登录。 之后，当用户需要访问网络上的某个资源时，用户的计算机就会使用这个“票据授予票证”来获取对目标机器的访问权限。 这些票有大量的验证过程，而且这些票的有效期相对较短。

Kerberos的组成部分如下：

• 负责人/主管一个可以被Kerberos分配票据的服务器或客户端。
• 认证服务器：该服务器负责授权主体，并将其与票据授予服务器进行连接。
• 票证颁发服务器（TGS）：提供门票。
• 密钥分发中心（KDC）：这种服务器负责处理初始的票据请求以及TGS相关的请求。通常，这种服务器同时运行着AS和TGS服务。需要指出的是，Kerberos是一种被广泛使用的认证协议。在欧洲，通常会使用另一种名为SESAME Secure European System for Applications的替代方案来处理多供应商环境下的认证需求。

Kerberos协议流程：

这种机制基于客户端-服务器模型。Kerberos利用对称密钥加密技术，并通过一个密钥分发中心来验证用户的身份。用于加密和解密的公钥是相同的。密钥分发中心实际上是一个存储所有秘密密钥的数据库。密钥分发中心包含三个主要组成部分：

• 一种票证颁发服务器（TGS），它负责将消费者与服务服务器（SS）连接起来。
• 这是一个Kerberos数据库，用于存储所有被测试用户的密码和身份信息。
• 负责进行初步身份验证的认证服务器。

假设我们有一个用户（客户端），同时还有一台服务器，我们需要使用服务器的网络服务。该用户必须是经过授权的用户才行。

• 用户向KDC发送消息，请求获取密钥。这样，用户就可以证明自己的身份，并访问网络的各项服务。
• 现在，位于KDC中的认证服务器会将该票据发送回用户。该票据是以加密的形式发送的。
• 用户将解密该消息，然后得到哈希值。
• 该哈希码再次被发送回AS。现在，AS会检查其真实性。
• 如果用户具有相应的权限，那么AS会向票据授予服务器提供一个服务票据（即密钥）。
• TGS将其交付给用户。
• 使用这张票证，客户端可以与服务器进行通信。

Kerberos真的不会出错吗？

并不存在一种能够完全防止攻击的保护措施。而Kerberos则是一种这样的解决方案。 多年来，黑客们一直有机会找到各种方法来绕过这些保护措施。他们通常会制作假门票，反复尝试猜测密码（即暴力破解），或者使用恶意计算机程序来破解加密措施。 除此之外，Kerberos仍然是目前最可靠的安全访问协议。 该协议具有足够的灵活性，可以采用可靠的加密算法来应对新的威胁。当用户遵循正确的政策和指导方针来选择合适的密码时，就不会出现任何问题。

Kerberos的优势：

• 访问控制：Kerberos认证协议能够实现强大的访问控制功能。用户可以借助一个单一的登录点来跟踪所有登录行为，同时还能确保各项保护策略得到有效的执行。
• 相互认证：Kerberos认证机制允许传输层的结构与客户端相互进行身份验证。在整个过程的所有阶段中，用户和服务器都能确保与之交互的对方是真实可信的。
• 有限期内的门票使用权：在Kerberos中，每张票证都包含时间戳以及持久性的数据信息。而认证过程则由管理员来负责管理。
• 可重复使用的身份验证机制：Kerberos认证方式具有可持久性且可以重复使用。实际上，每个用户都只会被系统测试一次而已。
• 安全性：由于采用了多种秘密密钥、第三方授权机制以及加密技术，Kerberos成为一种安全的验证协议。密码不会通过网络进行传输，而秘密密钥则被加密处理，因此攻击者很难冒充用户或服务。
• 性能：在性能方面，Kerberos能够在验证后继续记录客户端的相关信息。这意味着，与NTLM相比，Kerberos在大型网络中表现得更为出色。此外，Kerberos还可以将客户端的信息从前端Web服务器传输到其他后台服务器，比如SQL Server。