Kerberos原理目錄認(rèn)證過(guò)程工作過(guò)程2認(rèn)證過(guò)程3

認(rèn)證過(guò)程具體如下：客戶機(jī)向認(rèn)證服務(wù)器（AS）發(fā)送請(qǐng)求，要求得到某服務(wù)器的證書，然后AS的響應(yīng)包含這些用客戶端密鑰加密的證書。證書的構(gòu)成為：（1）

服務(wù)器“ticket”；（2）一個(gè)臨時(shí)加密密鑰（又稱為會(huì)話密鑰“sessionkey”）?？蛻魴C(jī)將ticket（包括用服務(wù)器密鑰加密的客戶機(jī)身份和一份會(huì)話密鑰的拷貝）傳送到服務(wù)器上。會(huì)話密鑰可以（現(xiàn)已經(jīng)由客戶機(jī)和服務(wù)器共享）用來(lái)認(rèn)證客戶機(jī)或認(rèn)證服務(wù)器，也可用來(lái)為通信雙方以后的通訊提供加密服務(wù)，或通過(guò)交換獨(dú)立子會(huì)話密鑰為通信雙方提供進(jìn)一步的通信加密服務(wù)。4

上述認(rèn)證交換過(guò)程需要只讀方式訪問(wèn)Kerberos數(shù)據(jù)庫(kù)。但有時(shí)，數(shù)據(jù)庫(kù)中的記錄必須進(jìn)行修改，如添加新的規(guī)則或改變規(guī)則密鑰時(shí)。修改過(guò)程通過(guò)客戶機(jī)和第三方Kerberos服務(wù)器（Kerberos管理器KADM）間的協(xié)議完成。有關(guān)管理協(xié)議在此不作介紹。另外也有一種協(xié)議用于維護(hù)多份Kerberos數(shù)據(jù)庫(kù)的拷貝，這可以認(rèn)為是執(zhí)行過(guò)程中的細(xì)節(jié)問(wèn)題，并且會(huì)不斷改變以適應(yīng)各種不同數(shù)據(jù)庫(kù)技術(shù)。5簡(jiǎn)要大概地說(shuō)一下Kerberos是如何工作的：（1）假設(shè)你要在一臺(tái)電腦上訪問(wèn)另一個(gè)服務(wù)器（你可以發(fā)送telnet或類似的登錄請(qǐng)求）。你知道服務(wù)器要接受你的請(qǐng)求必須要有一張Kerberos的“入場(chǎng)券”。（2）要得到這張入場(chǎng)券，你首先要向驗(yàn)證服務(wù)器（AS）請(qǐng)求驗(yàn)證。驗(yàn)證服務(wù)器會(huì)創(chuàng)建基于你的密碼（從你的用戶名而來(lái)）的一個(gè)“會(huì)話密鑰”（就是一個(gè)加密密鑰），并產(chǎn)生一個(gè)代表請(qǐng)求的服務(wù)的隨機(jī)值。這個(gè)會(huì)話密鑰就是“允許入場(chǎng)的入場(chǎng)券”。工作過(guò)程6（3）然后，你把這張?jiān)试S入場(chǎng)的入場(chǎng)券發(fā)到授權(quán)服務(wù)器（TGS）。TGS物理上可以和驗(yàn)證服務(wù)器是同一個(gè)服務(wù)器，只不過(guò)它現(xiàn)在執(zhí)行的是另一個(gè)服務(wù)。TGS返回一張可以發(fā)送給請(qǐng)求服務(wù)的服務(wù)器的票據(jù)。（4）服務(wù)器或者拒絕這張票據(jù)，或者接受這張票據(jù)并執(zhí)行服務(wù)。（5）因?yàn)槟銖腡GS收到的這張票據(jù)是打上時(shí)間戳的，所以它允許你在某個(gè)特定時(shí)期內(nèi)（一般是八小時(shí)）不用再驗(yàn)證就可以使用同一張票來(lái)發(fā)出附加的請(qǐng)求。使這張票擁有一個(gè)有限的有效期使其以后不太可能被其他人使用。78（1）User向KDC中的AS請(qǐng)求身份驗(yàn)證，AS為user和TGS生成一個(gè)sessionkey：SK_TGS，并發(fā)送{TGT,SK_TGS}K_USER；（2）User向KDC中的TGS請(qǐng)求訪問(wèn)某個(gè)Service的ST，發(fā)送[TGT,Authenticator]；（3）TGS判斷無(wú)誤后，為user和Service之間生成一個(gè)新的sessionkey：SK_Service；然后發(fā)送給user一個(gè)包：[{SK_Service}SK_TGS,ST]；9（4）User使用與TGS之間的會(huì)話秘鑰解開包得到與Service之間的會(huì)話秘鑰SK_Service，然后使用SK_Service生成一個(gè)Authenticator，向Service發(fā)送[ST,Auth