Ўзбекистон республикаси олий ва ўрта махсус таълим вазирлиги мирзо улуғбек номидаги ўзбекистон миллий университети математика факультети «Математик моделлаштириш ва криптоанализ»

§4.8. Kerberos protokoli.
Kerberos protokoli XX asrning 80-yillari o’rtalarida Nidxem-Shrederning uchinchi ishonchli tomon ishtirokidagi autentifikasiyalash va simmetrik shifrlash kalitlarini tarqatish protokoli negizida yaratilgan. Protokolda uchinchi ishonchli tomon sifatida Kalitlarni tarqatish markazi ishtirok etadi.
Ushbu protokol ommaviylashgan operasion tizimlar - Unix, Windows (Windows 2000 dan boshlab) operasion tizimlari oilalarida, Shuningdek, Mac OS da asosiy autentifikasiyalash protokoli sifatida realizasiya qilingan. Bu protokol ochiq tizimlarda ham, Shuningdek, SSH da ham qo’llanilgan. Protokolda sfifrlash jarayoni DES sfifrlash algoritmi asosida amalga oshiriladi va albatta, ushbu maqsadda boshqa algoritmlar ham qo’llaninlishi mumkin.
Kerberos protokoli «mijoz-server» arxitekturasi asosida yaratilgan bo’lib, simmetrik shifrlash kalitlarini tarqatish va himoyalanmagan tarmoqdagi foydalanuvchilarni haqiqiyligini markazlashgan tizim asosida tekshirishga mo’ljallangan. Bunda himoyalanmagan aloqa kanalidagi ikkita ishtirokchi (xostlar) aloqa o’rnatishdan oldin o’zaro autentifikasiyalashdan o’tishadi. Hozirgi kunda Kerberos protokoli autentifikasiyalash serverining amaldagi standarti vazifasini bajarmoqda.
Kerberos protokolining bir necha variantlari mavjud bo’lib, ularning hammasi bitta g’oyaga asoslangan. Protokolni amalga oshirish «mijoz-server» arxitekturasi asosida qurilgan dasturlash tizimidan foydalanishni nazarda tutadi. Bu dasturlash tizimi quyidagi 2 ta asosiy qismdan tashkil topgan:

• 
  Kerberosning mijoz qismi. Kerberos serveri komponentalari o’rnatilmagan himoyalangan tarmoqning barcha kompyuterlarida mijoz qismi o’rnatiladi. Protokol bo’yicha xabar almashinuvida xizmat qiluvchi dasturiy ta’minot o’rnatilgan va qandaydir foydalanuvchi qayd qilingan kompyuter Kerberos mijozi bo’ladi. Ayrim hollarda tarmoq serverlari (faylli serverlar, bosma serverlari va boshqalar) ham mijoz sifatida ishtirok etishi mumkin;
  
• 
  Kerberosning server qismi. Bu qism Kalitlarni tarqatish markazi (inglizcha KDC - «Key Distribution Center») deb nomlanadi hamda uning o’zi autentifikasiyalash serveri (inglizcha AS - «Authentication Server») va ruxsatnoma berish serveri (inglizcha TGS - «Ticket Granting Server») deb nomlanuvchi tashkil etuvchilardan iborat.
  

Shunday qilib, Kerberos sxemasi 3 ta dasturiy komponentalar – mijoz C, Kerberos serveri va SS (inglizcha «Service Server» so’zidan olingan) serverlarning o’zaro axborot almashinuvidan iborat. Bu yerda SS tarmoq mijozlariga xizmatlar ko’rsatuvchi serverdir. Ayrim hollarda SS server boshqa serverning mijozi bo’lishi ham mumkin (masalan, bosma serveri fayllar serveri xizmatidan foydalaninshi mumkin).
Mijoz C tarmoq serveri SS xizmatidan foydalanish uchun AS autentifikatordan ruxsat olishi lozim. Ruxsatnoma TGS serveri bilan aloqa o’rnatish huquqini beruvchi bilet korinishida bo’lib, u autentifikasiyalash serveri AS tomonidan beriladi. Bu bilet TGS - ruxsatnoma berish serveriga mijoz tomonidan taqdim qilinadigan, shifrlangan ko’rinishdagi ma’lumotdir. Birinchi ruxsatnomadan boshqa barcha ruxsatnomalarni mijoz TGS serveridan oladi. TGS serverining o’ziga murojaat qilishga ruxsat beruvchi birinchi ruxsatnomani mijozga autentifikasiyalash serveri AS beradi (4.1-rasm)
Ruxsatnoma maxfiy kalit bilan shifrlangan ma’lumot bo’lib, bu kalit faqatgina Kerberos serverlari AS va TGSga ma’lum. Shu sababli ruxsatnomani birinchi qabul qiluvchi, masalan, mijoz bu ruxsatnoma aynan Kerberos serveridan berilganligiga Shubhalanmasa ham bo’ladi.
Odatda ruxsatnomalar ma’lum bir vaqt oralig’ida, ya’ni ko’p martali foydalanishga mo’ljallangan bo’ladi. Bu muddat tugashi bilan mijoz yana qaytadan autentifikasiyalashdan o’tishi lozim bo’ladi. Har safar aloqa o’rnatilganda vaqt nishonidan foydalaniladi. Shu sababli tarmoqda yagona vaqt xizmatidan foydalanish maqsadga muvofiq.