Kerberos是一种主要用于计算机网络身份鉴别的协议，提供SSO功能。它需要预先建立共享密钥，并且通常应用于同一组织内部。协议流程包括Client向KDC获取TGT，然后使用TGT请求Service的Ticket进行身份验证。kinit是用于获取和缓存Kerberos票证的工具。Kerberos协议确保了Ticket和Session Key的安全传递，提供了消息的机密性和完整性，但不具备抗否认性。
Kerberos简介
Kerberos协议：
Kerberos协议主要用于计算机网络的身份鉴别(Authentication), 其特点是用户只需输入一次身份验证信息就可以凭借此验证获得的票据(ticket-granting ticket)访问多个服务，即SSO(Single Sign On)。由于在每个Client和Service之间建立了共享密钥，使得该协议具有相当的安全性。
条件
先来看看Kerberos协议的前提条件：
Client与KDC， KDC与Service 在协议工作前已经有了各自的共享密钥，并且由于协议中的消息无法穿透防火墙，这些条件就限制了Kerberos协议往往用于一个组织的内部， 使其应用场景不同于X.509 PKI。
过程
Kerberos协议分为两个部分：
1 . Client向KDC发送自己的身份信息，KDC从Ticket Granting Service得到TGT(ticket-granting ticket)， 并用协议开始前Client与KDC之间的密钥将TGT加密回复给Client。
此时只有真正的Client才能利用它与KDC之间的密钥将加密后的TGT解密，从而获得TGT。
(此过程避免了Client直接向KDC发送密码，以求通过验证的不安全方式)
2. Client利用之前获得的TGT向KDC请求其他Service的Ticket，从而通过其他Service的身份鉴别。
Kerberos协议的重点在于第二部分，简介如下：
1． Client将之前获得TGT和要请求的服务信息(服务名等)发送给KDC，KDC中的Ticket Granting Service将为Client和Serv
最低0.47元/天 解锁文章
91
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
