Kerberos 认证、黄金票据、白银票据

Kerberos 协议出现情景

情景一

• 假设一个网络内有 1000 个账户可以使用打印机服务，在使用打印机服务时需要对账户进行身份认证
• 如果打印机将这 1000 个账户凭证保存到打印机本地将大量消耗系统资源

情景二

• 假设一个网络中的用户可以在 1000 台主机上登录
• 如果这 1000 台主机都将账户凭证保存到本机上，当某个用户更改密码时，需要在这 1000 台主机都更改密码，进行大量操作。

解决措施

出于以上种种情景，需要一个认证服务器知道所有的账户密码（在域中为活动AD目录）

服务票据

TGS、服务票据

TGS（Ticket Granting Service）是身份认证协议中的一个重要组件，它负责向认证成功的用户颁发服务票据（Service Ticket），用于用户获取对特定服务的访问权限。服务器持有 TGS 颁发的票据后，携带票据访问相应的服务可获取响应的服务权限。

问题

在实际环境中，有各种各样的服务都需要进行认证，需要频繁输入密码进行认证，不仅繁琐，而且频繁传输密码加大了出现中间人劫持等安全风险。为了减少传递密码的次数，出现了票据授权票（TGT）

票据授权票

AS、票据授权票

AS（Authentication Service）所在的服务器存储了用户凭证，用户输入账户密码进行认证成功后，AS 向用户颁发票据授权票（TGT，Ticket Granting Ticket）（身份票据），用户获取 TGT 后，凭借 TGT 即可向 TGS 申请各种服务票据（ST），用来获取各种服务的权限

Kerberos 协议

目的和 NTLM 协议一样，用于实现登录认证，不过 Kerberos 协议涉及了三方认证

KDC（Key Distribution Center）

KDC是Kerberos协议的核心组件，由两个主要部分组成：

• 认证服务器（AS，Authentication Server）：负责处理用户的初始身份认证请求。当用户需要访问网络中的服务时，用户首先向 AS 发送身份认证请求，获取票据授权票（身份票据）。
• 票据授权服务器（TGS，Ticket Granting Server）：负责颁发服务票据，以便用户可以访问网络中的各种服务。一旦用户通过 AS 的身份认证，AS 会颁发给用户一个 TGT（Ticket Granting Ticket），用户可以使用 TGT 向 TGS 请求服务票据。

Kerberos 协议流程

1. 用户输入账户密码去找 AS 服务获取票据授权票（身份票据）
2. 用户使用身份票据获取服务票据
3. 使用服务票据获取具体的服务

黄金票据和白银票据

• 黄金票据就是伪造了 Kerberos 中的身份票据

• 白银票据就是伪造了 Kerberos 中的服务票据

应用场景：权限维持

丢失了获取的域控权限，拿回权限