Администрирование

Сертификат атрибута привилегий

Сертификат атрибута привилегий (privilege attribute certifi- cate, РАС) содержит идентификатор безопасности (security ID, SID) пользователя.

Билет

Клиент связывается со службой предоставления билета (TGS) и запрашивает билет для сервера, с которым он соединя- ется, до контакта с ним. Билет (ticket) — это запись, позволяю- щая клиенту аутентифицировать себя для сервера; этот просто сертификат, выдаваемый службой Kerberos. Билет зашифрован так, что только сервер-адресат способен расшифровать и прочи-
тать его. Билет содержит идентификационные данные клиента- заказчика, штамп времени, сеансовый ключ серверов, срок годно- сти билета, а также другие данные (вроде РАС) для идентифика- ции клиента целевым сервером. Билет пригоден для многократ- ного пользования, его срок службы обычно составляет 8 часов.

Билет на получение билета

Один из способов применения Kerberos состоит в том, что- бы просто запрашивать билет на каждый целевой сервер у службы предоставления билета (TGS) всякий раз, когда пользо- ватель хочет получить доступ на определенный сервер. Ответ на запрос в этом случае может содержать сеансовый ключ и другие сведения, зашифрованные секретным ключом пользователя. Этот способ приводит к открытости составной части секретного ключа пользователя в сети при запросе на создание нового билета.
В Windows Kerberos защищает секретный ключ тем, что сначала аутентифицирует пользователя, а затем запрашивает билет для получения билета (TGT). Билет для получения биле- та – это запрос билета и выбранного случайным образом сеансо- вого ключа для применения совместно с компонентом TGS службы Kerberos. Получив билет, пользователь может контакти- ровать со службой в любое время; билет приходит не от службы предоставления билета (TGS), а от сервера аутентификации(AS). Чтобы задействовать TGS, ответ зашифровывается не сек- ретным ключом пользователя, а сеансовым ключом, получен-
ным от AS.

2. 
   Возможности протокола Kerberos
   

У Kerberos есть несколько преимуществ перед традицион- ной системой аутентификации запрос-ответ.