Kerberos 认证协议

Kerberos 认证协议

Kerberos 认证协议是基于对称密钥的认证协议，在详细描述 Kerberos 之前，要先讲两个重要的概念：

1. Master Key：又叫 Long-term Key，这样的 Key 可能长期保持不变，用其加密的数据应该尽可能少的在网络中传输。因为一旦这些数据包被截获，只要有充足的时间，总是可以被破解的。
2. Session Key，又叫 Short-term Key，因为 Long-term Key 加密的数据要尽量少的在网络中传输，所以使用 Short-term Key 来加密平常传输的数据。这种 Key 只存在一段时间，所以即使加密的包被截获被破解了，Key 也可能早已过期了。

身份认证解决的是“如何证明某个人确确实实就是他或她所声称的那个人”的问题。一个基本的方法是：如果一个秘密（secret）仅仅存在于 A 和 B，那么有个人对 B 声称自己就是 A，B 通过让 A 提供这个秘密来证明这个人就是他或她所声称的 A。这个过程涉及到三个方面：

1. Secret 如何表示？
2. A 如何向 B 提供 Secret
3. B 如何识别 Secret

在 Kerberos 协议里，KDC（Key Distribution Center）负责协调 Client、Server 之间的通信，为其分配 Secret。
Client、Server 与 KDC 交互时靠什么做身份认证呢？同样有一个 Secret，这里叫 Master Key，是“管理员”预先分配好的，KDC 里保存了所有用户（包含 Client、Server