Kerberos Konzept und Funktion © Sascha Bandel.

Präsentation zum Thema: "Kerberos Konzept und Funktion © Sascha Bandel."—  Präsentation transkript:

1 Kerberos Konzept und Funktion © Sascha Bandel

2 Kerberos Konzept 1. Der Client (Alice) versucht ein Ticket, das TGT zu erlangen, welches die „Eintrittskarte“ in das Netz ist. KDC 2. Anschließend erwirbt der Client (Alice) mit Hilfe des TGT für jeden gewünschten (Netz-)Dienst ein TGT KDC Dienst 3. Mit Hilfe des TGT legitimiert sich der Client (Alice) beim jeweiligen Dienstserver („Bob -> Mail“) und nimmt diesen Dienst in Anspruch. Dienst

3 Kerberos Funktion (1) AS KDC-DB Masterkey K
Zweigeteilte Anfrage an KDC: Unverschlüsselte TGT Anfrage Authentifikation (Daten von Alice und Zeitstempel) mit KC verschlüsselt KDC Dienst AS KDC-DB Alice Erzeugung des Session Key SK-L Daten Clients Zweigeteilte Antwort an Client: SK-L für Alice mit KC verschlüsselt TGT : enthält eine Kopie des SK-L und ist mit dem K verschlüsselt KC sym. Key KS KDC KDC Aus dem Password von Alice und einem symmetrischen Schlüssel wird KC generiert. Alice besitzt nun: TGT SK-L für KDC KDC Alice

4 Kerberos Funktion (2) TGS KDC-DB mehrteilige Anfrage für TGT :
Authentifikation mit SK-L TGT als Legitimation Dienst TGS KDC-DB KDC TGS: Entschlüsselt TGT um den SK-L von Alice zu erhalten Entschlüsselt die Authentifikation für den Antrag auf das TGT mit SK-C SK erzeugen KDC Zweigeteilte Antwort an Client: SK mit SK-L verschlüsselt Angefordertes TGT welches den SK enthält und mit dem Key KS (Bob) verschlüsselt ist A,B Dienst A,B Client (Alice) besitzt nun: SK TGT Client (Alice) Besitzt: SK-L TGT (SK-L) Dienst A,B (Alice, Bob) A,B Dienst KDC

5 Kerberos Funktion (3) zweiteilige Anfrage:
Unverschlüsselte Anfrage auf Dienstgewährung Unverschlüselt: TGT SK mit KS verschlüsselt SK verschlüsselt: Zeitstempel Dienstberechtigung (Daten von Alice) Mailserver (Bob) Besitzt: KS (sym. Schlüssel) Dienst Dienst A,B Dienst Mailserver (Bob): Entschlüsselt TGT und KS und erhält SK Entschlüsselt den mit SK verschlüsselten Authentificator -> prüft den Zeitstempel A,B Dienst Dienst A,B Antwortet: Mit SK verschlüsselt nur den zuvor mit übertragenen Zeitstempel A,B Client (Alice) Besitzt: TGT SK-L SK Entschlüsselung der Antwort mit SK Eine mit SK gesicherte Verbindung zum Mailen ist etabliert A,B KDC Dienst A,B A,B

6 Kerberos Zusammenfassung
KDC („Ticket-Dealer“) besitzt 3 „Untergebene“: Authentification Server AS: „Dealt“ mit TGT KDC Ticket-Granted-Server TSS: „Dealt“ mit TGT Dienst Kerberos Datenbank: „Buchhalter“ für KC und KS Der „Kopf“ des Unternehmens: Master Key KT KDC