【正文】 2023/2/2 15:43:2415:43:2402 February 20231一個人即使已登上頂峰，也仍要自強不息。 02 二月 20233:43:24 下午 15:43:24二月 211最具挑戰(zhàn)性的挑戰(zhàn)莫過于提升自我。勝人者有力，自勝者強。 二月 2115:43:2415:43Feb2102Feb211越是無能的人，越喜歡挑剔別人的錯兒。 二月 21二月 21Tuesday, February 02, 2023閱讀一切好書如同和過去最杰出的人談話。 2023/2/2 15:43:2415:43:2402 February 20231空山新雨后，天氣晚來秋。 。 二月 21二月 2115:43:2415:43:24February 02, 20231意志堅強的人能把世界放在手中像泥塊一樣任意揉捏。 二月 2115:43:2415:43Feb2102Feb211世間成事，不求其絕對圓滿，留一份不足，可得無限完美。 二月 21二月 21Tuesday, February 02, 2023很多事情努力了未必有結(jié)果，但是不努力卻什么改變也沒有。 2023/2/2 15:43:2415:43:2402 February 20231做前，能夠環(huán)視四周；做時，你只能或者最好沿著以腳為起點的射線向前。 。 二月 21二月 2115:43:2415:43:24February 02, 20231他鄉(xiāng)生白發(fā)，舊國見青山。 二月 2115:43:2415:43Feb2102Feb211故人江海別，幾度隔山川。 二月 21二月 21Tuesday, February 02, 2023雨中黃葉樹，燈下白頭人。兩個Kerberos服務(wù)器互相注冊。? 這樣的環(huán)境被視為一個領(lǐng)域 (realm)。–Kerberos服務(wù)器必須與每一個服務(wù)器之間共享一個保密密鑰。 IDv : 確認該 ticket是為 server V簽發(fā)的； TS4 : 告訴 client該 ticket簽發(fā)的時間； TicketV : client用以訪問服務(wù)器 V的 ticket； Tickettgs: 可重用，從而用戶不必重新輸入口令； EKtgs :ticket用只有 AS和 TGS才知道的密鑰加密，以預(yù)防篡改； Kc,tgs : TGS可用的 session key副本，用于解密 authenticator,從而認證 ticket； IDc : 指明該 ticket的正確主人；Kerberos處理過程概要C VAS(1) (2) (3)TGS(4)(5)Kerberos(6) Kerberos中 ticket示意圖Kerberos管轄范圍與多重服務(wù)? 一個完整的 Kerberos環(huán)境包括一個 Kerberos服務(wù)器，一組工作站，和一組應(yīng)用服務(wù)器，滿足下列要求：–Kerberos服務(wù)器必須在其數(shù)據(jù)庫中擁有所有參與用戶的 ID(UID)和口令散列 (hash)表。 Lifetime2: 告訴 client該 ticket的有效期； Tickettgs: client用來訪問 TGS的 ticket。 IDtgs : 確認這個 ticket是為 TGS制作的。? 解決辦法–可重復(fù)使用的票據(jù) (ticket reusable) –票據(jù)授予服務(wù)器 (ticketgranting server)（TGS）每個用戶登錄會話一次 (Once per user logon session)(1) C ? AS : IDC || IDtgs(2) AS ? C : EKC[Tickettgs] TGS: 票據(jù)授予服務(wù)器(3) (KC 由用戶口令生成的密鑰 ,當回應(yīng)到達 C 時客戶機提(4) 示 C 輸入口令 ,這樣就不用傳輸明文口令 )每個服務(wù)類型一次 (Once per type of service)(3) C ? TGS : IDC || IDv || Tickettgs(4) TGS ? C : TicketV(5) 每個服務(wù)對話一次 (Once per service session)(5) C ? V : IDC || TicketVTickettgs = EKtgs[IDC||ADC||IDtgs||TS1||Lifetime1]TicketV = EKV[IDC||ADC||IDV||TS2||Lifetime2] KV : AS與 V共有的保密密鑰 Ktgs : AS與 TGS共有的保密密鑰 C VAS(1) (2) (3)TGS(4)(5)Kerberos改進后的假想對話：Kerberos V4 Authentication Dialogue? 兩個問題–與 ticketgranting ticket相關(guān)的 Lifetime問題；–需要服務(wù)器向客戶進行認證；? 解決方案–會話密鑰 (session key)(a) Authentication Service Exchange: to obtain ticketgranting ticket (1) C ? AS : IDC || IDtgs || TS1 (2) AS ? C : EKC[Kc,tgs || IDtgs || TS2 || Lifetime2 || Tickettgs]Tickettgs = EKtgs [Kc,tgs || IDC || ADC || IDtgs || TS2 || Lifetime2](b) Ticketgranting Service Exchange: to obtain servicegranting ticket (3) C ? TGS : IDV || Tickettgs || Authenticatorc (4) TGS ? C : EKc,tgs[Kc,v || IDV || TS4 || Ticketv]Tickettgs = EKtgs[Kc,togs|| IDC|| ADC|| IDtgs || TS2 || Lifetime2]Ticketv = EKV[Kc,v||IDC||ADC|| IDv||TS4||Lifetime4]Authenticatorc = EKc,tgs[IDc||ADc||TS3](c) Client/Server Authentication Exchange: To obtain service (5) C ? V : Ticketv || Authenticatorc (6) V ? C : EKc,v[TS5+1] ( for mutual authentication)Ticketv = EKV[Kc,v||IDc||ADc||IDv||TS4||Lifetime4]Authenticatorc = EKc,v[IDc||ADc||TS5] Kerberos Version 4 消息交換小結(jié)Summary of Kerberos Version 4 Message Exchanges(a) Authentication Service ExchangeMessage(1) Client 請求 ticketgranting ticket IDC : 告訴 AS本 client端的用戶標識； IDtgs : 告訴 AS用戶請求訪問 TGS； TS1 : 讓 AS驗證 client端的時鐘是與 AS的時鐘同步的；Message(2) AS返回 ticketgranting ticket EKC :基于用戶口令的加密，使得 AS和 client可以驗證口令，并保護 Message(2)?？紤]以下假定的對話：(1) C ? AS: IDC || PC || IDV(2) AS ? C: Ticket(3) C ? V : IDC || TicketTicket = EKV[IDC || ADC || IDV]其中： C : clientAS : Authentication Server V : serverIDC : identifier of user on C IDV : identifier of VPC : password of user on CADC : work address of CKV : AS與 V共有的保密密鑰C VAS(1) (2)(3)一個簡單的認證對話在 Tiket中： IDC —— 指明消息由 C發(fā)出 ADC —— 防止用 IDC 的名稱從另一個工作站轉(zhuǎn)發(fā) message(3) IDV —— V可以驗證加密的正確性 更安全的認證對話? 兩個主要問題–希望用戶輸入口令的次數(shù)最少。 AS與每一個服務(wù)器共有一個唯一的保密密鑰。? 采用 DES，精心設(shè)計協(xié)議，提供認證服務(wù)。Kerberos協(xié)議中一些概念? Principal(安全個體 )– 被認證的個體，有一個名字 (name)和口令 (password)? KDC(Key distribution center)– 是一個網(wǎng)絡(luò)服務(wù)，提供 ticket和臨時的會話密鑰? Ticket（票據(jù)）– 一個記錄，客戶可以用它來向服務(wù)器證明自己的身份，其中包括客戶的標識、會話密鑰、時間戳，以及其他一些信息。? 透明： 理想情況下，用戶除了要求輸入口令以