O que é Kerberos ?

                                                Kerberos

Hoje irei explicar de uma forma SIMPLES o que é o serviço de autenticação Kerberos e como ele funciona.

Introdução:

Imagine  uma empresa, que usa diversas aplicações, Todas elas tem autenticação de usuários local, imagine como seria frustrante gerenciar toda essa empresa? o mesmo usuário poderia estar com nome divergente em varias aplicações e com varias senhas diferentes configuradas entre essas aplicações , imagine agora que você precisaria dar permissões de serviços para cada usuário um caos não concorda? Isso sem falar da segurança, Uma rede sem autenticação está suscetível a vários ataques como : Um usuário pode utilizar o mesmo endereço de uma maquina vitima para se passar por ela, Um usuário poderia facilmente capturar pacotes da rede e replicar eles para a maquina vitima, assim reproduzindo uma autenticação. Foi por esses e outros problemas que surgiu o Kerberos.

O serviço de autenticação Kerberos foi desenvolvido pelo MIT com o objetivo de proteger os serviços fornecidos em sua rede (projeto Athena -1988).

O Serviço kerberos não trafega a senha do usuário em aberto isso quer dizer que, usa uma chave simétrica para criptografar a senha do usuário gerando um hash.

"*Curiosidade - A partir do windows 2000 a microsoft passou a utilizar a sua própria versão do Kerberos, assim substituindo o NTLMv2, Então o Active Directory é um Kerberos? Não o Active Directory tem um kerberos e faz muito mais.*"

Como funciona a Topologia de um Kerberos?

Authentication Server (AS): É o servidor de autenticação, responsável
por verificar a identidade do usuário (login) e gerar um ticket especial
(Ticket Granting Ticket – TGT) para acesso ao TGS. O AS conhece a
senha (password) de todos os usuários da rede.

Ticket Granting Server (TGS): É o servidor de concessão de tickets de
autorização usados para um usuário acessar um determinado serviço.
Ao receber um TGT, o TGS gera um ticket de autorização de acesso ao
serviço desejado.

Como um usuário Kerberos acessa o sistema ?

Para acessar um serviço da rede um usuário precisa apresentar um ticket de
autorização a este serviço.

1- O usuário se identifica no sistema (username, Password, Private key etc)
2- Caso o usuário exista no sistema o Servidor AS entrega um ticket ao usuário (TGT).
3- Com esse Ticket o usuário pede acesso a um serviço de rede ao servidor TGS com o ticket TGT  o servidor TGS sabe que o usuário é valido na rede.
4- O Servidor TGS envia ao usuário um ticket TGS que garante acesso aos serviços requisitados.
5- O Usuário acessa o serviço.

De uma forma bem introdutória e simples espero que tenham conseguido ter uma noção maior do sistema de autenticação Kerberos.

Neste link abaixo tem uma explicação da propria microsoft com mais detalhes;

https://technet.microsoft.com/en-us/library/bb742516.aspx

Caso tenha alguma duvida mais tecnica sobre o assunto pode perguntar.

Caso deseje dar uma olhada na RFC ; https://tools.ietf.org/html/rfc1510

Obrigado.