Kerberos工作流概念0102體系Content目錄03認(rèn)證過(guò)程01

概念概念kerberos是一種網(wǎng)絡(luò)認(rèn)證協(xié)議，其設(shè)計(jì)目標(biāo)是通過(guò)密鑰系統(tǒng)為客戶機(jī)/服務(wù)器應(yīng)用程序提供強(qiáng)大的認(rèn)證服務(wù)。該認(rèn)證過(guò)程的實(shí)現(xiàn)不依賴于主機(jī)操作系統(tǒng)的認(rèn)證，無(wú)需基于主機(jī)地址的信任，不要求網(wǎng)絡(luò)上所有主機(jī)的物理安全，并假定網(wǎng)絡(luò)上傳送的數(shù)據(jù)包可以被任意地讀取、修改和插入數(shù)據(jù)。在以上情況下，kerberos作為一種可信任的第三方認(rèn)證服務(wù)，是通過(guò)傳統(tǒng)的密碼技術(shù)（如：共享密鑰）執(zhí)行認(rèn)證服務(wù)的。02

體系體系

AS（AuthenticationServer）：認(rèn)證服務(wù)器

KDC（KeyDistributionCenter）：密鑰分發(fā)中心

TGT（ticketgrantingticket）密鑰授權(quán)票據(jù)

SGT：服務(wù)許可票據(jù)

TGS：票據(jù)授權(quán)服務(wù)器

SS：特定服務(wù)提供端，也稱web應(yīng)用服務(wù)器03

認(rèn)證過(guò)程認(rèn)證過(guò)程認(rèn)證過(guò)程：認(rèn)證過(guò)程共包含4個(gè)Sub-protocol：

1、AuthenticationServiceExchange(ASExchange)：

通過(guò)這個(gè)Sub-protocol，KDC（確切地說(shuō)是KDC中的AuthenticationService）實(shí)現(xiàn)對(duì)Client身份的確認(rèn)，并頒發(fā)給該Client一個(gè)TGT。具體過(guò)程如下：

client將clientinfo使用clientmasterkey加密扔給KDC，KDC從AccountDatabase中提取Client對(duì)應(yīng)的MasterKey對(duì)發(fā)過(guò)來(lái)的信息進(jìn)行解密，驗(yàn)證client身份，若驗(yàn)證成功，向client返回一個(gè)使用KDCmasterkey加密的TGT和使用client的masterkey加密的SessionKey（SKDC-Client：LogonSessionKey），TGT包含以下內(nèi)容：.SessionKey:SKDC-Client：LogonSessionKey.Clientname&realm:簡(jiǎn)單地說(shuō)就是Domainname\Client.Endtime:TGT到期的時(shí)間。123client使用自己的masterkey對(duì)第二部分解密得到SessionKey（SKDC-Client：LogonSessionKey）。2、User2UserProtocol

Client向server申請(qǐng)Server和KDC的SessionKey（SKDC-Server）和封裝了該SessionKey的屬于Server的TGT，如果該TGT存在于Server的緩存中，則Server會(huì)直接將其返回給Client。否則通過(guò)ASExchange從KDC獲取(同上一步驟，只不過(guò)此時(shí)Server作為client)3、TGS（TicketGrantingService）Exchange

Client通過(guò)向KDC提供自己的TGT，Server的TGT以及Authenticator向KDC中的TGS（TicketGrantingService）申請(qǐng)用于訪問(wèn)Server的Ticket。請(qǐng)求內(nèi)容如下：.ClientTGT:Client通過(guò)ASExchange獲得的TicketGrantingTicket，TGT被KDC的MasterKey加密.ServerTGT:Server通過(guò)ASExchange獲得的TicketGrantingTicket，TGT被KDC的MasterKey進(jìn)行加密，該TGT包含了Server和KDC的SessionKey（SKDC-Server）.Authenticator：用以證明當(dāng)初ClientTGT的擁有者是否就是自己,其中包含了Clientinfo,使用SKDC-Client進(jìn)行加密.Clientname&realm:簡(jiǎn)單地說(shuō)就是Domainname\Client。.Servername&realm:簡(jiǎn)單地說(shuō)就是Domainname\Server，這回是Client試圖訪問(wèn)的那個(gè)Server12345TGS收到Client申請(qǐng)Ticket的請(qǐng)求之后，先得驗(yàn)證Client提供的那個(gè)ClientTGT是否是AS頒發(fā)給它的。于是它不得不通過(guò)Client提供的Authenticator來(lái)證明。但是Authentication是通過(guò)LogonSessionKey（SKDC-Client）進(jìn)行加密的，而自己并沒(méi)有保存這個(gè)SessionKey。所以TGS先得使用自己的MasterKey對(duì)Client提供的ClientTGT進(jìn)行解密，從而獲得這個(gè)LogonSessionKey（SKDC-Client），再通過(guò)這個(gè)LogonSessionKey（SKDC-Client）解密Authenticator進(jìn)行驗(yàn)證。驗(yàn)證通過(guò)后，TGS再次使用自己的MasterKey對(duì)ServerTGT進(jìn)行解密，得到SessionKey（SKDC-Server）。

驗(yàn)證通過(guò)向Client發(fā)送TicketGrantingServiceResponse（KRB_TGS_REP）。這個(gè)KRB_TGS_REP有兩部分組成：使用LogonSessionKey（SKDC-Client）加密過(guò)的用于Client和Server的SessionKey（SServer-Client）和使用SessionKey（SKDC-Server）進(jìn)行加密的Ticket。該Ticket包含以下內(nèi)容：.SessionKey：SServer-Client。.Clientname&realm:簡(jiǎn)單地說(shuō)就是Domainname\Client.Endtime:Ticket的到期時(shí)間123Client收到KRB_TGS_REP，使用LogonSessionKey（SKDC-Client）解密第一部分后獲得SessionKey（SServer-Client）。有了SessionKey和Ticket，Client就可以直接和Server進(jìn)行交互，而無(wú)須再通過(guò)KDC作中間人了。4、CS（Client/Server）Exchge

Client創(chuàng)建用于證明自己就是Ticket的真正所有者的Authenticator，并使用SessionKey（SServer-Client）進(jìn)行加密,Client將Authenticator和SessionKey（SKDC-Server）加密過(guò)得的Ticket發(fā)送給Server，Server使用SessionKey（SKDC-Server）解密Ticket，得到SessionKey(SServer-Client)，然后使用SessionKey(SServer-Client)解密Authenticator實(shí)現(xiàn)對(duì)client的認(rèn)證。至此，kerberos認(rèn)證完成，Client可以直接訪問(wèn)Server.認(rèn)證過(guò)程認(rèn)證過(guò)程：認(rèn)證過(guò)程共包含4個(gè)Sub-protocol：

1、AuthenticationServiceExchange(ASExchange)：

通過(guò)這個(gè)Sub-protocol，KDC（確切地說(shuō)是KDC中的AuthenticationService）實(shí)現(xiàn)對(duì)Client身份的確認(rèn)，并頒發(fā)給該Client一個(gè)TGT。具體過(guò)程如下：

client將clientinfo使用clientmasterkey加密扔給KDC，KDC從AccountDatabase中提取Client對(duì)應(yīng)的MasterKey對(duì)發(fā)過(guò)來(lái)的信息進(jìn)行解密，驗(yàn)證client身份，若驗(yàn)證成功，向client返回一個(gè)使用KDCmasterkey加密的TGT和使用client的masterkey加密的SessionKey（SKDC-Client：LogonSessionKey），TGT包含以下內(nèi)容：.SessionKey:SKDC-Client：LogonSessionKey.Clientname&realm:簡(jiǎn)單地說(shuō)就是Domainname\Client.Endtime:TGT到期的時(shí)間。123client使用自己的masterkey對(duì)第二部分解密得到SessionKey（SKDC-Client：LogonSessionKey）。2、User2UserProtocol

Client向server申請(qǐng)Server和KDC的SessionKey（SKDC-Server）和封裝了該SessionKey的屬于Server的TGT，如果該TGT存在于Server的緩存中，則Server會(huì)直接將其返回給Client。否則通過(guò)ASExchange從KDC獲取(同上一步驟，只不過(guò)此時(shí)Server作為client)3、TGS（TicketGrantingService）Exchange

Client通過(guò)向KDC提供自己的TGT，Server的TGT以及Authenticator向KDC中的TGS（TicketGrantingService）申請(qǐng)用于訪問(wèn)Server的Ticket。請(qǐng)求內(nèi)容如下：.ClientTGT:Client通過(guò)ASExchange獲得的TicketGrantingTicket，TGT被KDC的MasterKey加密.ServerTGT:Server通過(guò)ASExchange獲得的TicketGrantingTicket，TGT被KDC的MasterKey進(jìn)行加密，該TGT包含了Server和KDC的SessionKey（SKDC-Server）.Authenticator：用以證明當(dāng)初ClientTGT的擁有者是否就是自己,其中包含了Clientinfo,使用SKDC-Client進(jìn)行加密.Clientname&realm:簡(jiǎn)單地說(shuō)就是Domainname\Client。.Servername&realm:簡(jiǎn)單地說(shuō)就是Domainname\Server，這回是Client試圖訪問(wèn)的那個(gè)Server12345TGS收到Client申請(qǐng)Ticket的請(qǐng)求之后，先得驗(yàn)證Client提供的那個(gè)ClientTGT是否是AS頒發(fā)給它的。于是它不得不通過(guò)Client提供的Authenticator來(lái)證明。但是Authentication是通過(guò)LogonSessionKey（SKDC-Client）進(jìn)行加密的，而自己并沒(méi)有保存這個(gè)SessionKey。所以TGS先得使用自己的MasterKey對(duì)Client提供的ClientTGT進(jìn)行解密，從而獲得這個(gè)LogonSessionKey（SKDC-Client），再通過(guò)這個(gè)LogonSessionKey（SKDC-Client）解密Authenticator進(jìn)行驗(yàn)證。驗(yàn)證通過(guò)后，TGS再次使用自己的MasterKey對(duì)ServerTGT進(jìn)行解密，得到SessionKey（SKDC-Server）。

驗(yàn)證通過(guò)向Client發(fā)送TicketGrantingServiceResponse（KRB_TGS_REP）。這個(gè)KRB_TGS_REP有兩部分組成：使用LogonSessionKey（SKDC-Client）加密過(guò)的用于Client和Server的SessionKey（SServer-Client）和使用SessionKey（SKDC-Server）進(jìn)行加密的Ticket。該Ticket包含以下內(nèi)容：.SessionKey：SServer-Client。.Clientname&realm:簡(jiǎn)單地說(shuō)就是Domainname\Client.Endtime:Ticket的到期時(shí)間123Client收到KRB_TGS_REP，使用LogonSessionKey（SKDC-Client）解密第一部分后獲得SessionKey（SServer-Client）。有了SessionKey和Ticket，Client就可以直接和Server進(jìn)行交互，而無(wú)須再通過(guò)KDC作中間人了。4、CS（Client/Server）Exchge

Client創(chuàng)建用于證明自己就是Ticket的真正所有者的Authenticator，并使用SessionKey（SServer-Client）進(jìn)行加密,Client將Authenticator和SessionKey（SKDC-Server）加密過(guò)得的Ticket發(fā)送給Server，Server使用SessionKey（SKDC-Server）解密Ticket，得到SessionKey(SServer-Cli