01: kerberos认证原理

1.1 kerberos认证浅析

　　1、kerberos定义

　　　　　　1. Kerberos 是一种网络认证协议，其设计目标是通过密钥系统为客户机 / 服务器应用程序提供强大的认证服务。

　　　　　　2. Kerberos 作为一种可信任的第三方认证服务，是通过传统的密码技术（如：共享密钥）执行认证服务的。

　　　　　　3. Kerberos也能达到单点登录的效果，即当Client通过了Kerberos server的认证后，便可以访问多个Real Server。

　　2、kerberos几个重要组件

　　　　　　1. KDC：负责分发密钥的密钥分配中心

　　　　　　2. Client：需要使用kerbores服务的客户端

　　　　　　3. Service：提供具体服务的服务端

　　3、kerberos中几个重要概念

　　　　　　1. Client master key: KDC中存储的Client的密钥

　　　　　　2. Server master key: KDC中存储的Server的密钥

　　　　　　3. Sclient-Server：Client与Server之间的会话密钥

　　　　　　4. Client Info：记录了Client本身的Ip等基本信息

　　4、kerberos认证交互过程

　　　　1）client从KDC获取Sclient-Server

　　　　　　　　1. 用client公钥加密Sclient-Server发送给client【Sclient-Server + Client-master-key(加密)】

　　　　　　　　2. 用server公钥加密Sclient-Server+ ClientInfo发送给client【Sclient-Server + ClientInfo + Server-master-key(加密)】

　　　　2）client用Sclient-Server加密发送数据

　　　　　　　　1. Client用自己的mClient-master-key解密KDC传过来的第一个包获得会话密钥Sclient-Server

　　　　　　　　2. 并用Sclient-Server加密自己的的信息和时间戳打包后传送给Server，此时Client开始和Server交互

　　　　3）server用私钥获取Sclient-Server，并用Sclient-Server解密client信息

　　　　　　　　1. Server会收到两个数据包，一个用会话密钥(Sclient-Server)加密，一个用自己的(Server-master-key)加密。

　　　　　　　　2. Server先用自己的Server-master-key解密获取会话密钥(Sclient-Server)和一份关于Client的信息。

　　　　　　　　3. 然后Server拿到解密后获取到的会话密钥(Sclient-Server)再解开另外一个数据包，获得另一份关于Client的信息和时间戳。

　　5、kerberos认证图解

　　　　　　

　　6、kerberos细节

　　　　1）上面有个数据包是KDC经Client转发给Server的，为什么不直接发给Server？

　　　　　　　　1. 因为Server可能给多个Client提供服务，这样Server需要维护一个Client和会话密钥的对应表，这对Server是一个负担。

　　　　2）为什么要发两份关于Client的信息给Server？

　　　　　　　　1. 通过这两份数据的对比，Server就能判断出是不是对的Client在访问服务。

　　　　3）Client是如何判断自己在访问对的Server呢？

　　　　　　1. 因为Client给Server的一个数据包是用Server的master key来加密的所以只有对的Server才能解密。

　　　　4）为什么要用会话密钥

　　　　　　　　1. 通信方的master key是长期有效的，如果在网络上传输，一旦被截取，理论上来说只要有足够的时间是可以破解的。

　　　　　　　　2. 所以我们才用临时的会话密钥来通信，一段时间后会话密钥会过期，同时时间戳也防止了，恶意用户重复使用同一个数据包。

　　　　5）为什么要用时间戳？

　　　　　　　　1. 如果Client向Server传送的数据包被其他的Client截取，然后自己拿来向Server请求服务这，这样就会出问题

　　　　　　　　2. Server收到请求后将从解密后的数据包中获得的时间戳和当前时间对比，一旦超过一定范围将直接拒绝请求

1.2 kerberos常用命令

　　https://www.cnblogs.com/chwilliam85/p/9679845.html

　　https://www.cnblogs.com/kisf/p/7494203.html

1111111111111111111111111111