Kerberos протоколы көмегі арқылы аутентификация
Нидхэм – Шредер протоколының бір нұсқасына негізделген Kerberos протоколының аутентификациясы көптеген нақты жұмыс жасайтын жүйелерде қолданылады. Ол грек мифтеріндегі Аидтан шығатын жерді қорғаушы үш басты иттің аты Кербердің атына байланысты аталған. Кербер Аидқа кез-келгенді кіргізеді, алайда одан ешкімді шығармаған. Kerberos протоколы Массачусетстегі технологиялық институтта жасап шығарылған. Оның Нидхэм – Шредер протоколынан айырмашылығы мынада, ол желідегі барлық сағаттар туралы жақсы мағынада. Протоколдың бірнеше келесі нұсқалары жасап шығарылды. V4 нұсқасы өндірісие кеңінен қолданылады, сондықтан ол осы жерде сипатталады. Содан кейін келесі V5 нұсқасы туралы айтылытын болады.
Kerberos протоколының жұмысында Алиса жұмысының станциясынан басқа, тағы да үш сервер ат салысады :
Аутентификация сервері : желіге кірген кезде қолданушының жеке тұлғалығын тексереді;
Билеттерді беру сервері : жеке тұлғаны қолдайтын билеттерді береді;
Алисаға қызмет көрсететін сервер, яғни Боб.
As серверінің аутентификациясы кілттерді тарату KDS-орталығына сәйкес, яғни олардың әрқайсысында әрбір қолданушы үші жасырын паролі бар. TGS билеттері беру серверінің жұмысы.
Сеансты бастау үшін Алиса пернетақтаны өзі қолданып, өзінің атын енгізеді. Жұмыс станциясы енгізілген атты 8.38-суретте көрсетілгендей ашық текст түрінде аутентификация серверіне жібереді. As серверінің аутентификациясы Алисаның жұмыс станциясына сеанс кілтін және Ktgs(A,Ks) билетін TGS билеттерін серверге беру үшін қайтарады. Осы мәліметтер тек Алисаның өзі ғана шифрлей алатындай етіп жабдықталады. Тек мәлімдеме 2 жіберілгеннен кейін ғана жұмыс станциясы Алисадан парольді сұрайды. Осы пароль көмегі арқылы мәлімдеме 2-ні шифрлейтін Ka кілті түрге келтіріледі, және одан сеанс кілті мен TGS билет беру серверіне рұқсат алынады. Шифрлеуді ашқаннан кейін жұмыс станциясы оның жадында сақталған парольді бірден өшіреді. Егерде Алисаның орнына жұмыс станциясына Труди тіркелгісі келсе, ол арқылы енгізілген пароль дұрыс болмайды, және мәлімдеменің стандартты екінші бөлігі жұмыс станциясы арқылы дұрыс емес екендігі анықталады.
Желіде тіркелгеннен кейін Алиса жұмыс станциясына файлдық сервермен контактіге түскісі келетінін, яғни Бобпен сөйлескісі келетінін айтады. Сол кезде жұмыс станциясы мәлімдеме үштің билет беру серверіне Бобпен сөйлесу үшін билет беруді сұрайды. Осы сұраныстың кілтті билеті ол KTGS(A, Ks) болып келеді, және де ол TGS-серверінің жасырын кілтімен шифрленген және жіберушінің жекелігін қолдау үшін қолданылады. Билет беру сервері Кав сеанс кілтін жасаумен жауап береді, онымен тек Алиса және Боб қолдана алады. Ол Алисаға осы кілттің екі нұсқасын жібереді. Бір кілт Ks кілті арқылы шифрленеді, сондықтан Алиса оны оқи алады. Екінші кілт Бобтың Кв кілті арқылы шифрленеді, ол Бобқа түсінікті болып келеді.
Қаскүнем мәлімдеме 3-ті көшіріп алып оны қайтадан іске асыруға тырысады, бірақ оған осы мәлімдемемен бірге жіберілетін уақытша t штампы кедергі келтіруі мүмкін. Қаскүнем осы уақытша штампты ауыстыра алмайды, өйткені Алиса билет беру серверімен сөйлесетін Ks кілтін білмейді. Тіпті қаскүнем өте тез мәлімдеме 3-ті қайталаса да, бәрі бір де ол жауап ретінде бірінші ретте де, енді екінші ретте де шифрлей алмайтын мәлімдеме 4-ті алады.
Осыдан кейін Алиса Бобпен сеансты орнату үшін Бобқа Кав кілтін жібереді. Осы мәлімдемелер де уақытша штамптарды қамтиды. Жауап ретінде алынған мәлімдеме 6 Алиса расында да қаскүнеммен емес, Бобпен сөйлесіп отырғанын қолдайды.
Сонымен, енді Алиса Кав сеанс кілтін қолдана отырып, Бобпен деректермен айырбастай алады. Егерде Алиса оған басқа сервер қажет деп шешсе, мысалы, Кэрол (Carol, C), онда ол кілттерді беру орталығына мәлімдеме 3-ке сәйкес, ондағы В-ны C-ға ( яғни, Бобтың идентификаторын Кэролдың идентиификаторына ) ауыстырып жібере алады. Кс кілті арқылы шифрленген мәлімдемемен тез арада TGS-сервері жауап бере алады. Осы билетті Алиса кэрлға жібереді, ол Алиса екендігін дәлелдейді.
Осы протоколдың құндылығы ол енді Алиса кез-келген серверге қорғалған қолжетімді алуында және сол уақытта оның паролі желі ішінде қайталанбауында болып келеді. Нақты уақытта ол тек оның жұмыс станциясында бірнеше миллисекундқа ғана желі ішінде көрсетілді. Алайда, әрбір сервер өзінің жұмысын атқаратындығына көз жеткізу керек. Алиса Бобқа өз билетін көрсеткен кезде, ол тек Бобқа билет көрсетушінің растығын көрсетеді. Серверде Алиса неге рұқсат ала алатындығына тек Боб шешеді.
Kerberos жүйесін өндірушілер барлық әлем тек бір ғана аутентификация серверіне сенбейтінін есептемегендіктен, әрқайссысында өзінің аутентификация сервері және билет беру сервері бар бірнеше аймақтардың тіршілік етуін қамтамасыз етті. Алшақ аймақта орналасқан сервер үшін билет алу үшін, Алиса өзінің TGS- серверінен билет сұрауы қажет, ол алшақ аймақтағы TGS-сервер арқылы қабылданады. Егерде алшақ аймақтағы TGS-сервері жергілікті TGS- серверінде тіркелген болса, онда жергілікті TGS- сервері расында да алшақ аймақтағы TGS- серверіндегі, Алисаға билет береді.
Осыдан кейін ол алшақ аймақтағы TGS- серверінен алшақ аймақтағы серверлерге билет ала алады.
Назар аударыңыз, әр аймақта орналасқан екі жақ бір –бірімен қорғалған байланыс орнату үшін , әр жақ басқа жақтың TGS- серверіне сену керек.
Kerberos V5 протоколы төртінші версияға қарағанда күрделірек болып келеді. Сонымен қатар ол деректер түрін сипаттау үшін OSI ASN.1 тілін қолданады. Және де Kerberos V5 жүйесінде билеттердің уақыты ұзағырақ болып келеді және олар жаңара алады. Сонымен қатар Kerberos V5 жүйесі DES стандартынан V4 сияқты тәуелді емес, ол әр түрлі аймақтарды қамти