7.2 Протокол аутентификации Kerberos

В древнегреческой мифологии трехглавый пес, охранявший вход в подземное царство, назывался Цербер (Kerberos). В мире информационных технологий данный протокол призван защищать узлы распределенной компьютерной сети, где каждый компьютер имеет доступ к ресурсам любого из узлов. Протокол аутентификации Kerberos позволяет клиентам и серверам с высокой степенью надежности удостоверять «личность» друг друга перед установлением сетевого соединения. В IETF RFC 1510 приводится описание базового протокола Kerberos, разработанного в Массачусетском технологическом институте (MIT) как часть проекта Athena. Microsoft встроила протокола Kerberos в Windows 2000 в качестве протокола аутентификации по умолчанию.

7.2.1 Преимущества протокола Kerberos, версия 5

• Kerberos – достаточно зрелый протокол, разрабатывался в течении более 10 лет.

• Последняя, пятая версия протокола, разрабатывалась в рамках процесса стандартизации IETF.

• Обеспечение безопасной аутентификации, обоюдной проверки клиента и сервера (взаимная аутентификация) и целостности сообщений, методом шифрования с симметричными ключами.

• Использование шифрования выделено в отдельные программные модули, что позволяет применять различные алгоритмы шифрования

• Открытый исходный код

В протоколе Kerberos, взаимодействует трое участников: два абонента безопасности и доверенная третья сторона. В роли абонентов выступают два устройства (обычно это клиент и сервер), которые желают установить связь друг с другом.

Клиенты и прикладные серверы, взаимодействующие по протоколу Kerberos, называются принципалами.

У каждого из них имеется свой долгосрочный уникальный пароль (например, тот, который пользователь предъявляет при входе в систему). Доверенная третья сторона — центр распределения ключей (Key Distribution Center, KDC) — служит посредником, снабжая обоих абонентов безопасности секретным ключом, который будет использоваться ими сообща. KDC также знает пароли всех участников сеансов связи, которым он предлагает посреднические услуги. Эти пароли хранятся в зашифрованной базе данных.

Kerberos опирается на криптографию с секретными, или симметричными, ключами. В этом случае сообщение, отправляемое открытым текстом, может быть преобразовано в шифрованный (т. е. нечитаемый) текст, а затем вновь восстановлено в виде обычного текста — и все это производится с помощью одного ключа. Таким образом, обе участвующие стороны используют для шифрования и дешифрования направляемых друг другу сообщений общий секретный ключ (метод криптографии с симметричным ключом).

Транзакция Kerberos состоит из манипулирования сеансовыми ключами и билетами. Сеансовый ключ — это секретный ключ, подготовленный специально для того, чтобы оба абонента безопасности могли совместно пользоваться одними и теми же идентификационными данными, и им была бы гарантирована целостность и конфиденциальность сообщений. Билет содержит важную информацию о транзакции и открывает запросившему его доступ к другому компьютеру, по сути, билет представляет собой пакет данных. Клиент обязан получить сеансовый ключ и билет для каждого компьютера, к которому он хочет получить доступ.

В билете отмечается момент его создания и срок действия. Абоненты безопасности используют данные о времени создания билета в процессе аутентификации, поэтому их часы должны быть максимально точно синхронизированы друг с другом (Клиент хранит билеты в специальной области памяти, содержимое которой никогда не сбрасывается на диск.).

Срок действия билета отслеживается системой безопасности (ограниченный период восстановления (renewal) и время жизни (lifetime), для того чтобы ограничить масштабы возможного ущерба, который способен причинить злоумышленник, укравший каким-либо образом билет.

В течение периода восстановления KDC незаметно для пользователя обновляет билеты. Если же период восстановления истек, пользователю предстоит заново пройти всю последовательность регистрации (logon sequence).

Обычно билет действителен в течение рабочего дня, однако администратор может менять срок в сторону как уменьшения, так и увеличения, в зависимости от политики безопасности, осуществляемой в конкретной организации. При этом следует иметь в виду, что уменьшение срока действия может привести к увеличению объема трафика, так как абонентам безопасности придется чаще проходить аутентификацию (кстати, и конечные пользователи будут недовольны: им придется снова и снова вводить свои пароли).

Если размер сети достаточно велик, абонентов безопасности разделяют на зоны (realm).

Имя области (realm name), которое присваивается области Kerberos; обычно в качестве имени об­ласти используется имя домена.

В каждую зону включаются все участники, имеющие прямое доверительное отношение с одним конкретным KDC. С помощью процедуры межзональной аутентификации представители разных зон могут связываться друг с другом.