Kerberos

Мерой для обеспечения безопасности, реализованной в Windows 2000 и перенесенной в Windows XP Professional, является Kerberos v.5. Протокол Kerberos предоставляет средства для взаимной аутентификации клиента (пользователя, компьютера или сервиса) и сервера.

Kerberos дает очень эффективный и удобный способ аутентификации даже в очень больших сетях. Работа протокола основана на предположении, что изначально транзакции между клиентом и сервером происходят в незащищенной сети. А раз так, то неавторизованный пользователь может представиться клиентом или сервером и перехватить или подделать сообщение для аутентификации.

Kerberos использует секретный ключ шифрования для защиты мандатов пользователя в процессе их перемещения по сети. Тот же самый ключ может затем использоваться для расшифровки мандата пользователя на принимающей станции. Дешифровка и последующие регистрационные процедуры выполняются контроллером домена с помощью Центра распространения ключей Kerberos (Kerberos Key Distribution Center, KDC).

Примечание. Более подробно контроллеры доменов описаны в гл. 6.

Примечание. Kerberos - это имя трехголового пса, стерегущего вход в ад. Кто бы объяснил, зачем его надо сторожить?

Удостоверение личности (аутентификатор) - это фрагмент информации, который каждый раз генерируется по-новому. Аутентификатор используется в каждом зашифрованном регистрационном сообщении для гарантии того, что прежнее зарегистрированное удостоверение личности не использовалось повторно.

Если первоначально введенное удостоверение личности принято, то KDC выдает билет (ticket-granting ticket, TGT), который используется локальными средствами защиты для получения сервисных билетов. Эти сервисные билеты используются для доступа к сетевым ресурсам без повторной проверки личности клиента, до тех пор пока сервисный билет остается действующим. В билете содержатся закодированные данные, которые однозначно идентифицируют пользователя. За исключением введения пароля или данных смарт-карты весь процесс является прозрачным для пользователя.

На рисунке 2.9 показана процедура входа с Kerberos.

Рис. 2.9.Kerberos-процедура входа