Kerberos认证协议

技术标签：网络信息安全

概念
基于第三方验证的鉴别协议

产生原因

用户进入不同系统都必须输入登录密码进行验证
服务器对此还要存储和维护用户登录密码，增加系统管理负担

认证机制
单点登录：用户只需在网络中进行一次身份认证，便可访问其授权的所有网络应用，无需一一认证，即把分散的用户认证信息集中化管理。

产生过程
由麻省理工学院Athena计划的一部分，基于对称密码算法的网络认证协议，利用集中式认证取代分散认证，减轻应用服务器负担

角色
客户端：请求服务
应用服务器：提供服务
认证服务器：验证用户身份
票据准许服务器：验证用户票据许可证

票据
票据许可证：服务许可票据
服务许可证：可访问服务器票据

工作过程

第一步： 认证服务交换，用户向服务器证明自己的身份，获得票据许可证票据
第二步：票据许可证服务交换，用户向票据许可证服务器TGS索取访问向服务器的服务许可票据
第三步：用户与服务器交换，使用所需服务

Kerberos缺陷

依赖性: 加密系统依赖DES,ip依赖和时间依赖(严格的时间同步)
字节顺序：没有遵循标准
票据有效期：最小为5分钟最大为21小时不能满足要求
认证转发能力：不允许签发给一个用户鉴别证书转发给其他工作站或其他客户使用
领域间的鉴别：管理起来困难
加密操作缺陷：非标准形式的DES加密(传播面膜分组链接PCBC),易受攻击
会话** 存在攻击者重放会话报文的可能
口令攻击：未对口令进行额外的保护，攻击者有机会进行口令攻击
通信双方无条件信任KDC: 一旦kdc收到攻击，代价惨重

改进

加密系统：支持任何加密技术
通信协议：ip协议外，还提供其他协议的支持
报文字节顺序：采用(ASN.1)和基本编码规则(BER)来进行规范
票据有效期：允许任意大小的有效期，有效期定义为一个开始时间和一个结束时间
鉴别转发能力：更有效的方法来解决领域间的认证问题
口令攻击：提供预鉴别机制，使口令攻击更加困难

Kerberos领域

构成：一个Kerberos服务器+一组工作站和一组应用服务器
Kerberos服务器：拥有所有参与用户的uid和口令散列表，且必须与每一个服务器之间共享一个保***
所有用户、服务器均在Kerberos服务器上注册
领域的划分是根据网络的管理来划定的

Kerberos领域间的互通
概念：即一个用户或服务器可以访问另一个Kerberos领域的服务器、用户进行交互
前提

支持不同领域间的用户进行身份鉴别
互通领域Kerberos服务器之间必须共享一个**
两个Kerberos服务器也必须相互注册

在这里插入图片描述

来源：网络

智能推荐

Kerberos认证原理简介

1.1 What is Kerberos 1.1.1 简单介绍　　Kerberos是一个用于鉴定身份（authentication）的协议，它采取对称**加密（symmetric-key cryptography），这意味着**不会在网络上传输。在Kerberos中，未加密的密码（unencrypted password）不会在网络上传输，因此攻击者无法通过嗅探网络来偷取用户的密码。　　Ke...

HBase ThriftServer Kerberos认证

1.前置用户可以通过ThriftServer来访问HBase服务，它的特点如下： ThriftServer代理用户访问HBase服务返回操作结果，用户客户端不需要直接跟HBase进行通信用户可以使用java/python/php/c++等语言的Thrift客户端代码访问HBase服务(HBase本身客户端只支持java语言) 2. Kerberos下的ThriftServer使用如果HBas...

Kerberos认证流程

因为要实现iOS上的SSO，看到是基于这个协议，暂且整理如下，待完善… 原理：A、B共享一个秘密secret，A通过提供这个秘密secret，向B证明自己是A 协议包含三个部分，如下： Sequence画图网址：https://www.websequencediagrams.com 新增了一个子协议——User2User Sub-Protocol：有效保障Se...

Kerberos认证原理简介

Kerberos认证原理简介 1.1 What is Kerberos 1.1.1 简单介绍　　Kerberos是一个用于鉴定身份（authentication）的协议，它采取对称**加密（symmetric-key cryptography），这意味着**不会在网络上传输。在Kerberos中，未加密的密码（unencrypted password）不会在网络上传输，因此攻击者无法通过嗅探网...

Kerberos认证原理

参考博文官方文档参考博文2 前言本文是在参考了两篇博文和官方文档基础上写成的，更多的是想通过自己学完复述一遍的方式加深理解。 Kerberos在希腊神话中是守护地狱之门的三头犬。在使用Kerberos中涉及到KDC（有些资料可能会叫做AS，即认证服务器）、客户端、服务器三方的身份认证问题，因此用Kerberos来进行命名还是十分贴切的。概念学习在开始正式的Kerberos学习之前，我们需...

猜你喜欢

kerberos认证管理

Kerberos: The Network Authentication Protocol 1 引言 0编写目的针对DataIDE和C70集群中均采用kerberos进行通讯安全认证，为方便日后对kerberos的学习，形成文档。 1kerberos简介 Kerberos简单来说就是一个用于安全认证第三方协议，它采用了传统的共享**的方式，实现了在网络环境不一定保证安全的...

网线接法

摄像头的8种颜色：橙、黄、绿、紫、灰、蓝、棕、白分别对应双绞线的8种颜色：橙白、橙、绿白、蓝、蓝白、绿、棕白、棕简化一点用网线的568B顺序分别对接就是：橙白（接橙色）、橙（接黄色）、绿白（接绿色）、蓝（接紫色）、蓝白（接灰色）、绿（接蓝色）、棕白（接棕色）、棕（接白色） 568A标准：绿白，绿，橙白，蓝，蓝白，橙，棕白，棕橙绿蓝棕排列好，先4-6交叉，再1-3、2-6 RJ-4...

SpringBoot打包成war包，部署到Tomcat并添加项目路径后，导致静态资源路径失效

静态资源访问失效，是应为其地址无法自动添加项目路径以下model.html 以下index.html 以下index_1.html 以下controller.java 结果...

Hive配置日志文件并测试

配置日志并测试进入到hive目录修改日志文件名称在hive目录下创建logs目录修改hive-log4j.properties配置文件hive.log.dir 把hive.log.dir=${java.io.tmpdir}/${user.name} 修改为 /opt/modules/hive-0.13.1/logs 退出hive 进入hive进行测试进入日志文件产生在hive控制台打印...

cdh beeline配置hive-site.xml不生效解决记录

最近用beeline替代hive cli，发现之前在hive-site.xml 的 Hive 客户端高级配置代码段（安全阀）的配置项，beeline居然不生效，如下图所示，而hive cli是生效的查看了执行机器上/etc/hive/conf/hive-site.xml文件，发现配置确实是修改了，一直以为是环境变量的原因，找了几个小时，网上也没相关解释，最后在hive-site.xml 的 Hi...