Kerberos Grundlagen

Bei Kerberos sind drei Parteien beteiligt

• Der Client: Das Gerät oder die Anwendung, die auf geschützte Dienste zugreifen möchte.
• Der Server, der den Client nutzen will: Der Dienst, auf den der Client zugreifen möchte, wie z. B. ein Dateiserver oder ein Anwendungsserver.
• Der Kerberos-Server: Besteht aus dem Key Distribution Center (KDC), das den Authentication Server (AS) und den Ticket Granting Server (TGS) umfasst.

Kerberos Authentifizierungsprozess

Der Kerberos-Authentifizierungsprozess ermöglicht eine sichere Kommunikation und Authentifizierung zwischen Clients und Diensten im Netzwerk:

• Der Client fordert vom Key Distribution Center (KDC) ein Ticket Granting Ticket (TGT) an.
  • Der Client sendet eine Authentifizierungsanfrage an den KDC, um ein TGT zu erhalten, das für die spätere Anforderung von Service-Tickets genutzt wird.

• TGT wird dem Benutzer ausgestellt und verschlüsselt übertragen.
  • Der KDC stellt ein TGT aus und überträgt es verschlüsselt an den Client. Der Client speichert das TGT im lokalen Cache.

• Um einen Dienst, der Kerberos unterstützt, nutzen zu können, fordert der Client ein weiteres Ticket an.
  • Mit dem im Cache gespeicherten TGT fordert der Client vom KDC ein Service-Ticket für

Kerberos Vertiefung

Kerberos ist ein Netzwerk-Authentifizierungsprotokoll, das entwickelt wurde, um sichere Kommunikation über unsichere Netzwerke zu ermöglichen. Es verwendet symmetrische Schlüssel und vertrauenswürdige Dritte, um die Identität von Benutzern und Diensten zu verifizieren.

Architektur

• Key Distribution Center (KDC): Das KDC ist die zentrale Komponente von Kerberos und besteht aus zwei Hauptdiensten:
  • Authentication Server (AS): Verifiziert die Identität von Clients und stellt Ticket Granting Tickets (TGT) aus.
  • Ticket Granting Server (TGS): Vergibt Zugriffstickets für spezifische Dienste basierend auf dem TGT.

Kerberos Authentifizierungsprozess

Der Kerberos-Authentifizierungsprozess ermöglicht eine sichere Kommunikation und Authentifizierung zwischen Clients und Diensten im Netzwerk. Die Schritte des Prozesses sind wie folgt:

• Benutzer fordert vom Key Distribution Center (KDC) ein Ticket Granting Ticket (TGT) an.
  • Der Client sendet eine Anfrage an den KDC, um ein TGT zu erhalten, das für die spätere Anforderung von Service-Tickets genutzt wird.

• TGT wird dem Benutzer ausgestellt und verschlüsselt übertragen.
  • Der KDC stellt dem Benutzer ein TGT aus und überträgt es verschlüsselt. Der Computer speichert das TGT im lokalen Cache des Clients.

• Um einen Dienst, der Kerberos unterstützt, benutzen zu können, fordert der Client ein weiteres Ticket an.
  • Mit dem gespeicherten TGT fordert der Client beim KDC ein Service-Ticket für den gewünschten Dienst an.

• Der KDC übermittelt das Service Ticket.
  • Der KDC erstellt und übermittelt das Service-Ticket, das für den spezifischen Dienst gedacht ist.

• Dieses Ticket sendet der Client dann an den Dienst, der überprüft, ob er dem Client den Zugriff gestatten soll.
  • Der Client sendet das erhaltene Service-Ticket an den Ziel-Dienst. Der Dienst überprüft das Ticket und entscheidet, ob der Client Zugriff erhält.

• Server vereinbart mit dem Client eine Sitzung und der Benutzer erhält die vorgesehenen Berechtigungen.
  • Nach der erfolgreichen Verifizierung des Tickets vereinbart der Server eine Sitzung mit dem Client, und der Benutzer erhält die entsprechenden Berechtigungen, um den Dienst zu nutzen.

[Bearbeiten]

Sicherheitsmechanismen

• Zeitstempel und Ablauf:
  • Kerberos verwendet Zeitstempel, um sicherzustellen, dass Tickets nur für einen begrenzten Zeitraum gültig sind, was Replay-Angriffe verhindert.
• Symmetrische Verschlüsselung:
  • Alle Tickets und Kommunikationen werden mit symmetrischer Verschlüsselung gesichert, die von beiden Parteien geteilt wird.
• Mutual Authentication:
  • Kerberos ermöglicht gegenseitige Authentifizierung, bei der sowohl der Client als auch der Dienst ihre Identitäten bestätigen, um Man-in-the-Middle-Angriffe zu vermeiden.

Einsatz in der Praxis

• Unternehmensnetzwerke:
  • Kerberos ist weit verbreitet in großen Unternehmensnetzwerken, insbesondere in Umgebungen mit Microsoft Active Directory, wo es als Standard-Authentifizierungsprotokoll dient.
• Single Sign-On (SSO):
  • Mit Kerberos können Benutzer sich einmal authentifizieren und anschließend auf mehrere Dienste zugreifen, ohne sich erneut anmelden zu müssen.

Herausforderungen

• Synchronisation der Systemuhren:
  • Kerberos erfordert, dass die Systemuhren der beteiligten Geräte synchron sind, um die Gültigkeit der Zeitstempel zu überprüfen.
• Schlüsselverwaltung:
  • Die Sicherheit von Kerberos hängt stark von der sicheren Verwaltung der symmetrischen Schlüssel und Passwörter ab.

Kerberos bietet eine robuste und sichere Methode zur Authentifizierung in Netzwerken, ist jedoch auf eine sorgfältige Konfiguration und Verwaltung angewiesen, um seine Sicherheitsvorteile voll auszuschöpfen.