Безопасное сетевое взаимодействие (часть 1)

Области Kerberos

Полнофункциональное окружение Kerberos, состоящее из сервера Kerberos, некоторого числа клиентов и некоторого числа прикладных серверов, требует следующего:

1. Сервер Kerberos должен иметь в своей базе данных идентификаторы и пароли всех зарегистрированных пользователей, т.е. все пользователи регистрируются на сервере Kerberos.

2. Сервер Kerberos должен разделять секретный ключ с каждым сервером, т.е. все серверы регистрируются на сервере Kerberos.

   Такое окружение называется областью ( realm ). Сети из клиентов и серверов в различных административных организациях обычно образовывают различные области. Однако пользователи из одной области могут нуждаться в доступе к серверам из других областей, и некоторые серверы готовы предоставлять сервисы пользователям из других областей, если эти пользователи будут аутентифицированы.

   Kerberos предоставляет механизм для поддержки такой аутентификации между областями. Для двух областей, поддерживающих межобластную аутентификацию, добавлено следующее требование:

3. Сервер Kerberos для каждой из взаимодействующих областей разделяет секретный ключ с сервером Kerberos в другой области. Другими словами, два сервера Kerberos регистрируют друг друга.

   Схема требует, чтобы сервер Kerberos в одной области доверял серверу Kerberos в другой области аутентифицировать своих пользователей. Более того, серверы во второй области также должны быть согласны доверять серверу Kerberos в первой области.

Если эти основополагающие условия выполняются, можно ввести следующий механизм доступа пользователей к серверам из других областей. Пользователю, который хочет получить сервис на сервере из другой области, необходим билет для этого сервера. Клиентский модуль следует обычным процедурам получения доступа к локальному TGS и затем запрашивает билет, гарантирующий билет, для удаленного TGS ( TGS в другой области). Затем клиентский модуль вызывает удаленный TGS для получения билета, гарантирующего сервис, на требуемый сервер в области, которую обслуживает удаленный TGS .

Протокол обмена является следующим:

1. C -> AS: ID_C, ID_tgs, TS₁
2. AS -> C: E_Kc [K_{C, tgs}, ID_tgs, TS₂, LТ₂, Ticket_tgs]
3. C -> TGS: ID_tgsrem, Ticket_tgs, Authenticator_C
4. TGS -> C: E_{Kc, tgs} [K_{C, tgsrem}, ID_tgsrem, TS₄, Ticket_tgsrem]
5. C -> TGS_rem: ID_rem, Ticket_tgsrem, Authenticator_C
6. TGS_rem -> C: E_{Kc, tgsrem} [K_{C, Srem}, ID_Srem, TS₆, Ticket_Srem]
7. C -> S_rem: Ticket_Srem, Authenticator_C

Билет, предоставляемый удаленному серверу S_rem, кроме всего остального, содержит идентификатор области, в которой пользователь был аутентифицирован. Сервер определяет, является ли данный удаленный запрос законным.

При таком подходе традиционная проблема состоит в том, что если существует N областей, то должно быть [N (N - 1)]/2 безопасных обменов ключей, чтобы каждый Kerberos области мог взаимодействовать со всеми остальными Kerberos.