Escolar Documentos
Profissional Documentos
Cultura Documentos
Lucas C. Ferreira
Jun - 1997
Roteiro
Introduo/Apresentao Modelo Modo de funcionamento:
tipos de credenciais Mensagens trocadas Requisies
Introduo
Tipos de autenticao em redes:
confiar em cada mquina:
mquina autentica usurio independentemente autenticar cada mquina cada mquina deve se autenticar e depois indicar
qual usurio fez a requisio
Apresentao
Sistema para autenticao Uso transparente Desenvolvido no MIT Arbitrador confivel Criptografia simtrica Servidor Kerberos conhece todas as chaves Possibilidade de usar servidores escravos
Lucas C. Ferreira - 1997 4
Modelo
Principal (cliente do Kerberos):
usurio ou aplicao servidor
Funcionamento
Kerberos TGS
2 1
3 4
Cliente 5
Lucas C. Ferreira - 1997
Servio
Funcionamento - 2
1 - Requisio do ticket granting ticket 2 - Ticket granting ticket 3 - Requisio de ticket para um servio 4 - Ticket para o servio 5 - Requisio de servio
Abreviaes
c cliente s servio a endereo v tempo de validade t timestamp Kx chave secreta de x Kx,y chave de seo para x e y {m}Kx m criptografado usando Kx Tx,y ticket para que x acesse os servios de y A x,y autenticador de x para y
Credenciais - 1
Tickets
Tc,s = s, {c, a, v, Kc,s}Ks
Credenciais - 2
Autenticadores:
Ac,s = {c, t, key}Kc,s
um para cada requisio key opcional usado apenas uma vez prova que cliente conhece Kc,s timestamp previne ataques por repetio
Lucas C. Ferreira - 1997 10
Tipos de mensagem
1 - cliente Kerberos:
c, tgs
2 - Kerberos cliente:
{kc,tgs}Kc , {Tc,tgs}Ktgs
3 - Cliente TGS:
{Ac,tgs}Kc,tgs , {Tc,tgs}Ktgs , s
4 - TGS cliente:
{Kc,s}Kc,tgs , {Tc,s}Ks
5 - cliente servio:
{Ac,s}Kc,s , {Tc,s}Ks
Lucas C. Ferreira - 1997 11
12
Passo 3:
Passo 2:
TGS decifra TGT e autenticador TGS compara ticket e autenticador TGS verifica timestamp TGS armazena timestamp para evitar repetio
Lucas C. Ferreira - 1997 14
TGS gera chave de seo TGS gera ticket requisitado TGS envia dados para o cliente
Passo 4:
Requisitando um servio - 1
Passo 1:
16
Requisitando um servio - 2
Em caso de autenticao mtua: Passo 3:
17
Tipos de comunicao
Normal:
autenticao no incio do processo
Safe messages
autenticao a cada troca de mensagens
Private messages
autenticao a cada mensagem mensagens criptografadas
Lucas C. Ferreira - 1997 18
Limitaes
No adequado para autenticao host-to
host Apenas um usurio por estao Chaves ficam no /tmp Relgios devem estar em sincronismo Ataques por adivinhao de senhas Integridade dos programas usados
Lucas C. Ferreira - 1997 19
Bibliografia
Steiner, J. G., Neuman, C., Schiller, J. I. Kerberos: An Authentication Service for Open Network Systems, Usenix Conference Proceedings, 1988 Bellovin, S. M., Merritt, M. Limitations of the Kerberos Authentication System, Usenix, Winter 1991 Ferreira, L. C., Carvalho, M. L. B. Autenticao de Grupos em Redes Unix, Relatrio Tcnico RT.021/96, DCC-UFMG Schneier, B. Applied Cryptography: Protocols, Algorithms and Source Code in C, John Wiley, 1995
20