关于 Kerberos

简述

Kerberos 是基于对称密钥的网络身份认证协议，核心作用是在不安全网络中验证用户 / 服务身份，防止身份伪造和密码窃听。

详细认证流程（四步完整交互）

1. 身份请求：客户端向 KDC 的 AS 发送认证请求，包含用户名和目标服务名（无需密码）。
2. TGT 发放：AS 验证用户身份后，用用户预存的密钥（由密码衍生）加密 TGT 和会话密钥，发送给客户端。客户端用自身密码解密，获取 TGT 和会话密钥。
3. 服务票据申请：客户端用 TGT 和会话密钥向 TGS 请求目标服务的访问票据，TGS 验证 TGT 有效性后，生成服务票据（含客户端身份、会话密钥副本），用服务端密钥加密后发送。
4. 服务访问：客户端将服务票据和自身身份凭证（用会话密钥加密）发送给服务端，服务端解密票据获取会话密钥，再验证客户端凭证，通过后建立安全连接。

---

Kerberos 的安全短板与应对方案

• 单点故障风险：KDC 是核心，一旦宕机将导致全网认证失效。应对：部署 KDC 集群（主从架构），实现高可用备份。
• 时间同步依赖：票据含有效期（默认 5-10 小时），客户端与 KDC、服务端时间差需控制在 5 分钟内（可配置），否则票据失效。应对：全网部署 NTP 时间同步服务，锁定时间同步源。
• 密钥泄露风险：若用户密码或 KDC 密钥泄露，攻击者可伪造身份。应对：定期轮换 KDC 主密钥、用户密码，采用强密码策略（长度≥12 位，含大小写 + 符号）。
• 票据重放攻击：攻击者截取未过期票据后重复使用。应对：票据中嵌入客户端 IP、时间戳，服务端验证票据唯一性和时效性。

---

部署与优化核心要点