Kerberos là một giao thức xác thực mạng được thiết kế để cung cấp xác thực mạnh mẽ cho các ứng dụng client/server bằng cách sử dụng mật mã khóa bí mật. Kerberos cung cấp mức độ bảo mật cao nhất cho các tài nguyên mạng.
Nguồn gốc và đặc điểm
Kerberos được phát triển bởi MIT như một giải pháp cho các vấn đề bảo mật mạng. Giao thức Kerberos sử dụng mật mã học mạnh để cho phép người dùng chứng minh danh tính của mình với máy chủ (và ngược lại) qua một kết nối mạng không an toàn. Sau khi client và server đã dùng Kerberos để xác thực danh tính, họ cũng có thể mã hóa tất cả các trao đổi để đảm bảo sự riêng tư và tính toàn vẹn dữ liệu.
Kerberos có sẵn công khai từ MIT, dưới bản quyền tương tự như hệ điều hành BSD và Hệ thống Cửa sổ X. MIT cung cấp Kerberos dưới dạng mã nguồn để bất kỳ ai muốn sử dụng đều có thể xem xét mã nguồn và tự xác nhận độ tin cậy. Ngoài ra, đối với những người ưa thích sản phẩm được hỗ trợ chuyên nghiệp, Kerberos cũng có sẵn dưới dạng sản phẩm từ nhiều nhà cung cấp khác nhau.
Kiến trúc Client/Server
Kerberos áp dụng kiến trúc client/server và hỗ trợ xác thực user-to-server thay vì host-to-host. Trong mô hình này, bảo mật và xác thực dựa trên công nghệ khóa bí mật, nơi mỗi máy chủ trên mạng có khóa bí mật riêng.
Máy chủ Kerberos (KDC) có hai chức năng chính bao gồm Máy chủ Xác thực (AS) và Máy chủ Cấp vé (TGS). Các bước thiết lập phiên được xác thực giữa client ứng dụng và server ứng dụng như sau:
- Bước 1 - Xác thực với AS: Phần mềm client Kerberos thiết lập kết nối với chức năng AS của máy chủ Kerberos. AS trước tiên xác thực client là người mà nó tuyên bố. AS cung cấp cho client một khóa bí mật cho phiên đăng nhập này (khóa phiên TGS) và một Vé cấp vé (TGT), cho phép client giao tiếp với TGS. Vé có thời gian sống hạn chế để quá trình xác thực được lặp lại định kỳ.
- Bước 2 - Lấy khóa Server ứng dụng từ TGS: Client giao tiếp với TGS để lấy khóa của Application Server để có thể kết nối đến dịch vụ mong muốn. Client cung cấp cho TGS khóa phiên TGS và TGT. TGS phản hồi với Khóa phiên Ứng dụng (ASK) và dạng mã hóa của khóa bí mật Application Server. Khóa bí mật này không bao giờ được truyền trên mạng dưới dạng rõ.
- Bước 3 - Xác thực với Application Server: Client đã xác thực mình và có thể chứng minh danh tính cho Application Server bằng cách cung cấp vé Kerberos, khóa phiên ứng dụng và khóa bí mật Application Server đã mã hóa. Application Server phản hồi với dữ liệu được mã hóa tương tự để xác thực mình với client. Sau đó client có thể khởi tạo các yêu cầu dịch vụ như Telnet, FTP, HTTP, hoặc thiết lập phiên giao dịch thương mại điện tử.