14. Автентифікація за допомогою протокола Kerberos.

Kerberos –это сервер аутентификации, (доверенная третья сторона) .

Функции: владеет секретными ключами обслуживаемых субъектов и помогает им в попарной проверке подлинности. Предоставляет средства проверки подлинности субъектов, Условия абонентов: незащищенная сеть, возможность перехвата, модификации, дополнения пересылаемой информации

Kerberos не полагается

• на средства аутентификации, операционных систем сетевых компьютеров,

• на подлинность сетевых адресов,

• на физическую защищенность сетевых компьютеров (кроме тех, на которых работает сервер Kerberos).

Физическая реализация Kerberos — один или несколько серверов проверки подлинности, функционирующих на физически защищенных компьютерах.

Серверы поддерживают базу данных субъектов и их секретных ключей.

• Атаки на доступность. отражение таких атак и реакция на "нормальные" отказы возлагается на пользователей и администраторов.

• Кража секретных ключей. Забота о сохранности своих ключей лежит на субъектах.

• Угадывание паролей.

По слабому паролю можно вычислить секретный ключ и расшифровать полученную от Kerberos информацию.

При использовании "троянца" злоумышленник может узнать пароли многих пользователей.

След-но Kerberos все же предполагает некоторый базовый уровень защищенности обслуживаемых компьютеров

• Повторное использование идентификаторов субъектов. Т

Теоретически возможно: новый субъект Kerberos получит тот же идентификатор, что был у ранее выбывшего субъекта; Возможно, что этот идентификатор остался в списках управления доступом какой-либо системы в сети.; Тогда новый субъект унаследует права доступа выбывшего.

• Рассогласование часов на компьютерах.

Допустимая погрешность часов может устанавливаться индивидуально для каждого сервера.

Если синхронизация часов выполняется сетевыми средствами, соответствующий протокол должен сам заботиться о безопасности.

Елементами Керберос є:

1. центральний сервер аутентифікації, який зберігає всі дані користувачів, їх паролі та права доступу до різних інформацйних послуг даної мережі

2. сервер видачі білетів (мандатів) TGS.

3. сервери інформаційних послуг (поштовий сервер, служба мережевих принтерів)

Послідосність дій:

1. клієнт відправляє серверу аутентифікації (AS) свій ідентифікатор, а також ідентифікатор сервера TGS, до якого йому необхідно отримати доступ

2. у відповідь сервер AS видає білет, зашифрований секретним ключем, який є спільним з TGS

3. цей білет шифрується ще раз, але вже ключем клієнта. Таким чином це виключає доступ до білета третіх осіб

4. клієнт розшифровує цей білет і відправляє його серверу TGS із вказівкою свого ідентифікатора та ідентифікатора сервера, до якого йому треба отрмати доступ

5. серваер TGS, розшифрувавши білет, перевіряє ідентифікатор користувача та його адресу, а також строк дії білета. Після чого відсилає користувачу білет на отримання послуг сервера AS

недолік схеми: білет, який відсилається від клієнта до сервера TGS може бути перехоплений зловмисником та використовуватись для доступу до послуг мережі. Щоб попередити тікі дії зловмисника, додаткового сервер виробляє новий секретний ключ, який передає клієнту та сервету TGS. Для шифрування аутентифікатора, який містить ім_я користувача (ID) та мережеву адресу. Для роботи протокому важлива синхронізація за часом.