Kerberos Konzept und Funktion © Sascha Bandel

Kerberos Konzept 1. Der Client (Alice) versucht ein Ticket, das TGT zu erlangen, welches die „Eintrittskarte“ in das Netz ist. KDC 2. Anschließend erwirbt der Client (Alice) mit Hilfe des TGT für jeden gewünschten (Netz-)Dienst ein TGT . KDC Dienst 3. Mit Hilfe des TGT legitimiert sich der Client (Alice) beim jeweiligen Dienstserver („Bob -> Mail“) und nimmt diesen Dienst in Anspruch. Dienst

Kerberos Funktion (1) AS KDC-DB Masterkey K Zweigeteilte Anfrage an KDC: Unverschlüsselte TGT Anfrage Authentifikation (Daten von Alice und Zeitstempel) mit KC verschlüsselt KDC Dienst AS KDC-DB Alice Erzeugung des Session Key SK-L Daten Clients Zweigeteilte Antwort an Client: SK-L für Alice mit KC verschlüsselt TGT : enthält eine Kopie des SK-L und ist mit dem K verschlüsselt KC sym. Key KS KDC KDC Aus dem Password von Alice und einem symmetrischen Schlüssel wird KC generiert. Alice besitzt nun: TGT SK-L für KDC KDC Alice

Kerberos Funktion (2) TGS KDC-DB mehrteilige Anfrage für TGT : Authentifikation mit SK-L TGT als Legitimation Dienst TGS KDC-DB KDC TGS: Entschlüsselt TGT um den SK-L von Alice zu erhalten Entschlüsselt die Authentifikation für den Antrag auf das TGT mit SK-C SK erzeugen KDC Zweigeteilte Antwort an Client: SK mit SK-L verschlüsselt Angefordertes TGT welches den SK enthält und mit dem Key KS (Bob) verschlüsselt ist A,B Dienst A,B Client (Alice) besitzt nun: SK TGT Client (Alice) Besitzt: SK-L TGT (SK-L) Dienst A,B (Alice, Bob) A,B Dienst KDC

Kerberos Funktion (3) zweiteilige Anfrage: Unverschlüsselte Anfrage auf Dienstgewährung Unverschlüselt: TGT SK mit KS verschlüsselt SK verschlüsselt: Zeitstempel Dienstberechtigung (Daten von Alice) Mailserver (Bob) Besitzt: KS (sym. Schlüssel) Dienst Dienst A,B Dienst Mailserver (Bob): Entschlüsselt TGT und KS und erhält SK Entschlüsselt den mit SK verschlüsselten Authentificator -> prüft den Zeitstempel A,B Dienst Dienst A,B Antwortet: Mit SK verschlüsselt nur den zuvor mit übertragenen Zeitstempel A,B Client (Alice) Besitzt: TGT SK-L SK Entschlüsselung der Antwort mit SK Eine mit SK gesicherte Verbindung zum Mailen ist etabliert A,B KDC Dienst A,B A,B

Kerberos Zusammenfassung KDC („Ticket-Dealer“) besitzt 3 „Untergebene“: Authentification Server AS: „Dealt“ mit TGT KDC Ticket-Granted-Server TSS: „Dealt“ mit TGT Dienst Kerberos Datenbank: „Buchhalter“ für KC und KS Der „Kopf“ des Unternehmens: Master Key KT KDC