Kerberos原理

深碍√TFBOYSˉ_ 2022-07-12 13:51 199阅读 0赞

自己整理的Kerberos认证原 理，Kerberos是Windows的主要认证机制  
  
Kerberos认证原理图

![kerberos.gif][]

1.  认证服务器根据用户名找到用户密码
2.  生成一个票据授权票和与客户共享的**密码** **A**
3.   使用用户的密码将  **数据 A** = \[ 票 据授权票 \+ 一个共享密码（密码 A ） \]  加密 用户获得数据 A ，输入自己的密码，使用输入的密码来解开数据 A ，如 果密码正确，获得票据授权票和共享密码 A.
4.  用户使用共 享密码 A 将 \[ 用户名＋用户 IP 地址 \] 加密生成一个**验证器** **A** .
5.   用户需要使用**服务器** **A** 的**服务** **A** ，向认证服务器提出索票请求。向认证服务器发送**数据** **B** =\[ 验证器＋票据授权票＋服 务 A 名＋用户＋用户地址 .\]
6.  认证服务器收 到数据，解开票据授权票获得共享密码 A, 使用密码 A 解开验 证器，认证是否是真实用户。成功以后，认证服务器生成一个服务 A 的票，并且生成一个与服务 A 共享的**密码** **B** . 最后向客户发送**数据** **C=** \[ 密码 B+ 服务 A 的票 \]
7.  用户获得数 据 B 后，使用密码 B 生成**验证器** **B**
8.   用户 向**服务器** **A** 发 送**数据** **D** =\[ 验证器 B+ 服务 A 的票 \]
9.  服务器 A 接受 数据 D ，获得服务 A 的票， 并且获得共享密码 B ，使用密码 B 解开验 证器 B
10. 使用验证器 的用户名和地址核对是否是授权用户，如果是提供服务A  
      
     注：由于验证器是不能从用的，所以在短时间内会失效， 但是对于票来说是有自己的有效期的，所以用户在获得其他服务的票或者继续使用服务 A 的时候，都无需再次的输入口令，再次的获得票，可直接使用。由于验证器是会过期的，所以如果有人 拷贝数据的话，数据会在短时间内失效，起到安全的作用。  
       
    注：票是用服 务的密码加密的  
     用户输入用户名，把用户名传送给认证服务器

[kerberos.gif]: /images/20220710/ec3634c4bab7475d84aab9d8ece09e0a.png