28. Мандат на выдачу мандатов

Долговременный ключ пользователя создается на основе его пароля. В центре KDC долговременные ключи хранятся в базе данных с учетными записями пользователей. Получив запрос от клиента Kerberos, установленного на рабочей станции, KDC обращается в свою базу данных, находит в ней учетную запись нужного пользователя и извлекает из соответствующего ее поля долговременный ключ.

Такой процесс – вычисление одной копии ключа по паролю и извлечение другой его копии из базы данных – выполняется всего лишь один раз за сеанс, когда пользователь входит в сеть впервые. Сразу же после получения пользовательского пароля и вычисления долговременного ключа клиент Kerberos рабочей станции запрашивает сеансовый билет и сеансовый ключ

На запрос пользователя KDC отвечает специальным сеансовым билетом для самого себя, так называемый билет на выдачу билетовили билет TGT. Как и обычный сеансовый билет, TGT содержит копию сеансового ключа для связи службы (в данном случае –KDC) с клиентом. В сообщение с билетом TGT также включается копия сеансового ключа, с помощью которой клиент может связаться с KDC. Билет TGT шифруется посредством долговременного ключа службы KDC, а клиентская копия сеансового ключа – с помощью долговременного ключа пользователя.

Получив ответ службы KDC на свой первоначальный запрос, клиент расшифровывает свою копию сеансового ключа, используя для этого копию долговременного ключа пользователя из своей кэш-памяти. После этого долговременный ключ, полученный из пользовательского пароля, можно удалить из памяти, поскольку он больше не понадобится: вся последующая связь с KDC будет шифроваться с помощью сеансового ключа. Как и все другие сеансовые ключи, он имеет временный характер и действителен до истечения срока действия билета TGT, либо до выхода пользователя из системы. По этой причине такой ключ называют сеансовым ключом регистрации(logon session key).

29. Подсистемы Kerberos

Керберос включает в себя три подпротокола:

1. ASexchange– отвечает за связь клиента со службой аутентификацииKDC

2. TGS– отвечает за взаимодействие клиента со службой выдачи мандатов.

3. CS– отвечает за взаимодействие клиента с сервером.

Первый из них используется службой KDC для передачи клиенту сеансового ключа регистрации и билета TGT. Он называется (обмен со службой аутентификации) или, сокращенно AS Exchange. Начальное сообщение, посланное клиентом к центру KDC, называется сообщением KRB_AS_REQ (Первая часть содержит идентификатор пользователя, а также имя службы, для которой нужно удостоверение, то есть службы выдачи билетов. Во второй части указываются данные предварительной аутентификации, которые подтверждают, что userзнает пароль.) Ответ сервера клиенту называется сообщением KRB_AS_REP.

Второй подпротокол под названием «обмен со службой выдачи билетов» или TGS Exchange служит для рассылки служебных сеансовых ключей и сеансовых ключей самой службы KDC. Запрос на билет сеанса, посланный клиентом, называется сообщением KRB_TGS_REQ(В него включается имя пользователя, аутентификатор, зашифрованный с помощью сеансового ключа регистрации, билет TGT, который был получен с помощью подпротокола AS Exchange, а также имя службы, на доступ к которой нужен билет); ответ сервера - сообщением KRB_TGS_REP.

Третий подпротокол (клиент-серверный обмен) или CS Exchange, используется клиентом для пересылки сеансового билета доступа к службам. Запрос клиента называется сообщением KRB_AP_REQ (аутентификатор, зашифрованный посредством сеансового ключа для службы, билет, полученный с помощью протокола TGS Exchange, а также флаг, указывающий о желании клиента провести взаимную аутентификацию)