Você está na página 1de 21

Controle de Acesso Kerberos

Consideraes iniciais

Um processo de autenticao tem como objetivo garantir o acesso uma rede, e seus servios, por usurios legtimos, e impedindo qualquer acesso no autorizado. Por isso muitos sistemas requerem que o usurio primeiramente passe por um processo de autenticao para que esteja devidamente identificado e habilitado a utilizar o sistema, antes de permitir o acesso deste usurio rede

Introduo

Kerberos um protocolo de redes desenvolvido pelo MIT (Massachusetts Institute of Technology) em meados dos anos 80, que tem por objetivo prover uma autenticao forte atravs da utilizao de criptografia simtrica

Introduo
Ao ser construdo, foram designados a ele quatro principais requisitos: A segurana - Evitando espionagem ou modificao dos dados A confiabilidade - Que diz respeito a questo da mtua autenticao A escalabilidade - Que refere-se ao fato de que deve ser um sistema capaz de funcionar tanto com redes pequenas quanto com redes muito grandes A transparncia - Permitir que as operaes ocorram automaticamente

Funcionamento Bsico
O funcionamento bsico consiste em autenticar os usurios para aplicaes de redes, utilizando: - Um ticket - Um autenticador - Um centro de distribuio de chaves

Autenticao atravs da mquina cliente


Problemas

- Um usurio pode obter acesso a uma determinada mquina cliente e fingir ser outro usurio, operando atravs daquele cliente - Um usurio pode alterar o endereo da mquina cliente na rede, de forma que as mensagens de request provenientes desta mquina sejam vistas como vindas de uma outra mquina. - Um usurio pode obter acesso a um servidor ou desfazer operaes.

Funcionamento

O Kerberos trabalha baseado em Tickets, que identificam os usurios. Usurios realizem um cadastro no Authentication Server (AS), a funo deste fornece o Ticket Granting Ticket(TGT). Este ticket deve ter como contedo dados que identifiquem o usurio como uma senha e uma estampa de tempo, usada para dar uma proteo contra o roubo e uso posterior do ticket

Ticket

Os tickets so como credenciais para o Kerberos. Eles possuem um grupo de informaes eletrnicas que permitem verificar a identidade do cliente Esse ticket criptografado pelo servidor que o emitiu com a chave do servidor para o qual ele ser enviado

Estrutura de um Ticket

Servidor de Autenticao ( Authentication Server AS )

responsvel por receber um pedido de autenticao de um usurio e verificar se a identidade deste usurio autntica. Sendo vlida esta identidade, o AS fornece um ticket e uma chave de sesso, que vai permitir o contato com outro servidor, o TGS.

Servidor de Concesso de Tickets ( Ticket Granting Server -TGS )

Responsvel por fornecer tickets para servios especficos requeridos pelo usurio. O contato com o TGS feito aps a autenticao pelo AS. O usurio tem seu ticket avaliado, e uma vez validado pelo TGS, recebe um novo ticket, agora para obter algum servio disponvel.

Servidor de Administrao (KADM)

Este servidor o responsvel por controlar as chaves secretas (informaes criptografadas). Antes de realizar o processo de autenticao, preciso que o usurio cadastre seus dados atravs do KADM, para que possua um login e uma senha

Centro de distribuio de Chaves (KDC)

um servidor centralizado tambm responsvel pela autenticao dos usurios Ao receber de uma mquina cliente uma requisio por um ticket, o KDC cria o chamado Ticket Granting Ticket (TGT), o criptografa utilizando a senha secreta do usurio, criando a chamada chave secreta, e o envia para o cliente que fez a solicitao

Centro de distribuio de Chaves (KDC)

O processo de autenticao inicia-se com um pedido do cliente a este servidor central, o KDC, onde esto registradas as chaves secretas dos usurios. Cada mquina cliente compartilha uma chave secreta com o KDC, o qual o responsvel por gerar chaves para serem usadas por um pequeno perodo de tempo durante uma determinada conexo. O KDC, ento, gera uma mensagem incluindo duas componentes:

Uma chave de sesso (session key), a qual codificada com uma chave secreta do usurio. O ticket-granting ticket, (TGT), que inclui uma cpia da chave de sesso.

Funcionamento

Figura extrada de: www.conectiva.com

Chave Secreta

Uma chave secreta associada a cada cliente, com a finalidade de autenticar o usurio ao Kerberos. obtida a partir da senha fornecida pelo cliente no momento de seu cadastramento, e sua chave secreta fica armazenada na Base de Dados do Kerberos.

Chave de Sesso

uma informao encriptada e segura, gerada pelo Authentication Server, que permite identificar se quem est apresentando o ticket o mesmo cliente para quem o ticket foi concedido, e no uma outra pessoa que possa ter interceptado ticket pelo caminho

Benefcios da autenticao Kerberos

Autenticao mtua. O cliente pode validar a identidade da entidade de servidor e o servidor pode validar o cliente. Com essa documentao, as duas entidades so denominadas "cliente" e "servidor" mesmo que seja possvel estabelecer conexes seguras de rede entre servidores. Permisses de autenticao seguras. So utilizadas somente permisses criptografadas, e as senhas nunca so includas na permisso. Autenticao integrada. Uma vez que o usurio faa logon, ele no precisa efetuar logon novamente para acessar algum servio que suporte a autenticao Kerberos pois a permisso do cliente no expira. Todas as permisses tm um prazo de validade determinado pelas diretivas do Kerberos que geram a permisso.

Benefcios da autenticao Kerberos

Mltiplos domnios: pode ser criada uma estrutura hierarquizada de autenticao, de forma que usurios de um domnio possam se autenticar em outro.

Limitaes do Protocolo

nico ponto de falha Praticamente toda a segurana reside no servidor que guarda a base de dados dos clientes e servidores. Se este servidor estiver comprometido, o funcionamento da rede tambm estar O Kerberos necessita que os relgios internos dos clientes estejam sincronizados com o dele, devido o uso de timestamps para o controle dos tempos de expirao dos tickets

Referncia Bibliografica

http://pt.wikipedia.org/wiki/Kerberos http://msdn.microsoft.com/ptbr/library/cc280744.aspx http://www.conectiva.com/doc/livros/online/10 .0/servidor/pt_BR/ch13s04.html http://www.gta.ufrj.br/grad/04_1/kerberos/ker beros/funcionamento.html http://www.gta.ufrj.br/grad/07_1/kerberos/Cha veSecretaeChavedeSessao.html#Topic13