با سلام............
در این مقاله به معرفی اجمالی بر پروتکل کربراس می پردازم ...................
امیدوارم که مورد توجه شما عزیزان قرار بگیره.اگر شما هم اطلاعاتی دراین زمینه دارید خوشحال میشم که کمک کنید.
خلاصه:
نسخه آتی ویندوزمایکروسافت،Kerberos رابعنوان پروتکل پیش فرض احرازهویت شبکه اتخاذخواهدکرد.بعنوان یک استاندارد، Kerberosیک تعامل(همراه با افزایش امنیت احرازهویت)برای شبکه های وسیع فراهم می آورد.
پیاده سازی Kerberos v5 براساس گسترش تصدیق اصالت کلیدهای عمومی می باشد. سرویس گیرنده Kerberosبعنوان یک فراهم کننده امنیت ازطریق رابط پشتیبانگرشبکه پیاده سازی میشود.
تصدیق هویت درونی بامعماری ورود موفقیت آمیزیکبارsign on کردن همراه شده است.kdc نیزباسرویسهای امنیتیwin2kکه درdomain controllerدرحال اجرا هستندوازactive dirctory برای امنیت پایگاه داده حسابهایشان استفاده میکنندمجتمع گردیده است.
این مقاله اجزا این پروتکل را بررسی کرده و جزئیاتی درمورد پیاده سازی آنرابیان میکند.
مقدمه:
این مقاله یک مقدمه تکنیکی درموردچگونگی پیاده سازی پروتکل تصدیق هویت Kerberos v5 درسیستم عامل ویندوز2000 مایکروسافت ارائه میکندوشامل شرح جزئیات این مفهوم مهم،معماری عناصرآن و خصوصیات تصدیق هویت Kerberos v5 میباشد.قسمت مروری بر Kerberos v5،برای هرکس که باتصدیق هویت Kerberos ناآشناست مفیدمیباشد.به دنبال این مقدمه چندین قسمت برای شرح پیاده سازی درwin2000آمده است.
این مقاله بایک اشاره مختصرراجع به نیازمندیهای این پروتکل برای تعامل با دیگرپیاده سازیها به پایان می رسد.
تصدیق اصالت درwin2000:
ویندوز2000 ازچندین پروتکل برای شناسائی هویت کاربرانی که درسیستم ،account دارند،پشتیبانی میکندکه شامل پروتکلهایی برای اعتبارسنجی اتصالات تلفنی وپروتکلهایی برای اعتبارسنجی کاربران خارجی است که به شبکه ازطریق اینترنت دسترسی پیدا مکنند.
اماتنهادوانتخاب برای اعتبارسنجی شبکه درdomain های win2k وجوددارد:
1- Kerberos v5 : پروتکل احرازهویت Kerberos v5،پروتکل پیش فرض برای اعتبارسنجی کامپیوترباسیستم عامل win2000 میباشد.
2- Windows NT Lan Manager(NTLM):پروتکلntlm،پروتکل پیش فرض برای اعتبارسنجی شبکه درسیستم عامل WIN NT4.0 میباشد.در win2k برای هماهنگی وسازگاری باسرورها و سرویس گیرنده هایی که ازنسخه های قبلی win2k استفاده میکنند،تعبیه شده است.
Ntlmهمچنین برای اعتبارسنجی log on ،به کامپیوترهای مستقل با win2k بکارمی رود.کامپیوترهای با win3.11،win95،win98،win nt 4.0 ازپروتکل ntlm برای اعتبارسنجی شبکه در domain های win2k استفاده می کنند.
کامپیوترهایی که ازwin2k استفاده میکنندازntlm هنگامی که با یک سرور win nt 4.0 اعتبارسنجی میشوندیاهنگامی دسترسی به منابع، در domainهای win nt استفاده میکنند.اما پروتکل انتخابی win2k،هنگامیکه یک انتخاب وجوددارد Kerberos v5،میباشد.
مزیتهای اعتبارسنجی Kerberos:
این پروتکل نسبت به ntlm بسیارکارآمد،انعطاف پذیرو دارای امنیت بالاست .مزایایی که بااستفاده ازاعتبارسنجی Kerberos حاصل میشوند عبارتنداز:
اعتبارسنجی کارآمدتربه server:
بااستفاده ازاعتبارسنجی ntlm یک سرور،برنامه کاربردی برای اعتبارسنجی هرکاربرباید به domain controller ،متصل شود. بااعتبارسنجی Kerberosسرورنیازی به تماس مکرربه domain controller ندارد. سرویس گیرنده ها میتوانند گواهینامه هایی برای سرورهای خاص رایکبارکسب کرده و ازآنهابرای دفعات بعد مجددا استفاده میکند.
اعتبارسنجی دوطرفه:
پروتکل ntlm تنهابهserver اجازه شناسایی هویت کاربران را میدهدو سرویس گیرندگان قادر به شناسایی هویت سرور نمی باشند.همچنین با استفاده ازاین پروتکل سرورهاقادربه شناسائی هویت یکدیگرنمیباشند.
اعتبارسنجی ntlm برای محیط های شبکه ای که سرور حقیقی و واقعی پنداشته میشود ،طراحی گردیده است.پروتکلkerberos چنین پنداشتی ندارد.
درپروتکلkerberos هردوقسمت پایانی ارتباط شبکه ای میتوانندبفهمند که آیا طرف دیگرارتباط همان کسی است که ادعا میکندیاخیر؟
اعتبارسنجی تفویض شده :
سرویسهای ویندوز هنگام دستیابی به منابع درنبود سرویس گیرندگان آنهاراجعل هویت میکنند.دربسیاری موارد یک سرویس قادراست به وسیله دستیابی به منابع موجود برروی کامپیوترمحلی کارخودرابرای سرویس گیرندگان به طورکامل انجام دهد.
پروتکلهای Kerberos و ntlm هردواطلاعات موردنیازیک سرویس جهت جعل هویت سرویس گیرندگان محلی را فراهم میکند.حال آنکه بعضی از برنامه های کاربردی توزیع شده بنحوی طراحی شده اند که سرویسهای front end باید هنگام اتصال به سرویسهایbackendروی کامپیوترهای دیگرحتما سرویس گیرندگان را جعل هویت کنند.پروتکل Kerberos با داشتن مکانیزم پروکسی به یک سرویس اجازه میدهد هنگام اتصال به سرویسهای دیگر،سرویس گیرندگان خودرا جعل هویت نماید.پروتکل ntlm دارای چنین مکانیزم مشابهی نیست.
ساده شدن مدیریت trustها:
یکی از مزایای پروتکل Kerberos ،trust(اعتماد)بین منابع امنیتی برای domainهای ویندوز2000بصورت دوطرفه و انتقالی است.دریک شبکه با چندین domain نیازی به مشخص کردن ارتباطات پیچیده و نقطه به نقطه صریح و روشن بین domainها نمیباشد،بجای آن تعداد زیادی domain ازیک شبکه بزرگ دریک درخت باtrust دوطرفه و انتقالی سازماندهی شوند.گواهینامه هایی که توسط منابع امنیتی برای هرdomain صادرمیشود،هرجائی دردرخت پذیرفته میشود. اگرشبکه شامل بیش از یک درخت باشد،گواهینامه های ارائه شده توسط یک domain درهردرخت درforest پذیرفته میشود.
قابلیت تعامل:
پیاده سازی پروتکل Kerberos توسط مایکروسافت برمبنای standard track specification پیشنهاد شده توسط IETF میباشد.پیاده سازی این پروتکل در win2k پایه ای برای تعامل با شبکه های دیگرکه از Kerberos v5 برای اعتبارسنجی استفاده میکنند فراهم میکند.
استانداردهای اعتبارسنجی Kerberos:
پروتکل Kerberosدردهه قبل در MIT ایجادشدو توسط مهندسینی که روی پروژه ATHENA کارمیکردند گسترش پیدا کرد.اولین نسخه عمومی ارائه شده ازاین پروتکل Kerberos v4 میباشد.مولفان صنایع بزرگی که ازاین پروتکل استفاده میکننداین پروتکل را گسترش دادندوkerberos v5 راارائه کردند.این نسخه اکنون یکی از استانداردهای IETF میباشد.
پیاده سازی این پروتکل درwin2000 دقیقا مشخصات تعریف شده درRFC1510 رادنبال میکند.به همین ترتیب مکانیزم و فرمت انتقال توکنهای امنیتی در پیامهای Kerberos مشخصات تعریف شده در RFC1964 را دنبال مینماید.
ویندوز2000گسترشی برای پروتکل Kerberos پیاده سازی کرده که به اعتبارسنجی های داخلی اجازه استفاده از گواهینامه های کلیدعمومی را نسبت به کلیدهای رمزی اشتراکی مرسوم میدهد.این ارتقا به پروتکل اجازه پشتیبانی از logon تعاملی با کارتهای هوشمندرا میدهد.
گسترش اعتبارسنجی کلیدعمومی برمبنای خصوصیات مشخصی است که توسط گروههای IETFو گروههای شخص ثالث علاقه مندبه تکنولوژی کلیدعمومی گسترش یافته است.
مروری بر پروتکل Kerberos:
پروتکل اعتبارسنجی Kerberos یک مکانیزم اعتبارسنجی دوطرفه بین سرویس گیرنده وسروریابین یک سروربادیگرسرورها قبل از برقراری ارتباط شبکه ای فراهم میکند.
این پروتکل فرض میکند تراکنشهای درونی بین سرویس گیرنده هاو سرورها برروی یک شبکه باز،اتفاق می افتد که بسیاری از کامپیوترها ازنظرفیزیکی امن نیستندو حرکت و انتقال بسته ها درطول خطوط ممکن است توسط دیگران مشاهده یا دستکاری شود.
محیط فرض شده به عبارت دیگرخیلی شبیه اینترنت امروزی است بطوریکه یک مهاجم میتواند به آسانی خودرا به عنوان یک سرویس گیرنده یا سرور مطرح کرده و درارتباط بین یک سرویس گیرنده و سرور واقعی اطلاعات را خوانده ویااستراق سمع نماید.
مفاهیم اساسی:
پروتکل Kerberos به شدت برپایه تکنیکهای اعتبارسنجی شامل رمزهای اشتراکی بنیانگذاری شده است.مفهوم اصلی بسیارساده است.اگر دونفریک رازرا بدانند هرکدام ازآنهامیتواند دیگری را بوسیله تصدیق کردن رمزی که شخص دیگر میداند،شناسائی کند.
برای مثال بیایید فرض کنیم آلیس اغلب پیامهایی برای باب می فرستد و باب قبل از اینکه روی آن کارکند بایدمطمئن شود که پیغام رسیده واقعا ازطرف آلیس است . آنها با انتخاب یک پسورد تصمیم میگیرند ،مشکلاتشان را حل کنندو توافق میکنند که این راز را با هیچ کس دیگرنگویند. اگرپیام آلیس بتواند نشان دهدکه فرستنده پسورد را میداند ،باب میفهمد که فرستنده پیام آلیس است. تنها یک سئوال برای آلیس و باب باقی می ماند : چگونه آلیس نشان خواهد داد که پسورد را میداند؟او به آسانی می تواند جایی در پیغام خودآن را لحاظ کند احتمالا دریک بلوک امضا درپایان . این روش ساده و کارآمد است و باعث میشود آلیس و باب مطمئن باشند که هیچ کس قادربه خواندن نامه آنها نخواهدبود.اما مسئله این نیست،پیام آنها ازشبکه ای که توسط دیگران مثلا کارول استفاده میشود عبور میکند.کارول یک تحلیلگر شبکه داردو سرگرمی او اسکن کردن ترافیک شبکه است به این امید که یک پسورد کشف کند. برای نگهداری رمزیک پسورد اوباید بدون آشکارکردن پسورد نشان دهدکه آنرا میداند.
پروتکل Kerberos این مشکل را با رمزنگاری secret key حل کرده است. درمقایسه با به اشتراک گذاشتن یک پسورد ،دراین حالت طرفین یک ارتباط یک کلید رمزنگاری شده به اشتراک می گذارند و ازاطلاعات این کلید برای شناسایی هویت طرف دیگر استفاده می کنند.برای تکنیک کاربا کلید share شده ،باید یک کلید متقارن منفردباشد که هم توانایی رمزشدن و هم قابلیت ازحالت رمزدرآوردن را داشته باشد. یک طرف اطلاعات کلید رابارمزکردن اطلاعات و طرف دیگربا رمزگشایی ازآن استفاده می کند.
Authenticator:
یک پروتکل ساده که از اعتبارسنجی کلیدرمز استفاده می کند،هنگامی که استفاده میشود یک شخص خارج درارتباطی است و قصددارد به آن واردشود.برای واردشدن این شخص یک authenticator رابه شکل قطعه ای از اطلاعات رمزنگاری شده درکلید رمز ارائه دهد.اطلاعات در authenticator هربارکه پروتکل اجرامیشود باید متفاوت باشد.زیرا یک authenticator قدیمی می تواند مجددا توسط هرشخص دیگری که به ارتباطات گوش فرا می دهد ،استفاده شود.
به محض دریافت یک authenticator ،شخصی محافظ درآن را رمزگشائی کرده......
اگرموفقیت آمیزباشد محافظ در می داند که شخص ارائه دهندهauthenticator، کلید واقعی و درست را دارد. تنها دو نفرکلید حقیقی را دارند. محافظ دریکی از آنهاست و شخصی که ارائه کننده authenticator می باشد باید دیگری باشد . اگر شخصی بیرون از در، خواستار اعتبارسنجی دوطرفه باشد همان پروتکل بایک تفاوت کوچک بصورت معکوس اجرا می شود .محافظ در می تواند قسمتی از اطلاعات را از authenticator اصلی استخراج کرده وآن را دریک authenticator جدید رمزنگاری کرده ،سپس authenticator جدید را به شخصی که بیرون در منتظر است بدهد. شخص خارح از در می تواند authenticator محافظ در را از رمزخارج کند ونتیجه را با اصل مقایسه کند. اگر باهم مطابقت داشتند ،شخص پشت در می فهمد که محافظ در قادررمز اصلی را از حالت رمز خارج کند پس دارای کلید صحیح می باشد.
مثال:فرض کنیم آلیس و باب تصمیم می گیرند قبل از انتقال هر اطلاعات بین کامپیوترهایشان ،هرکدام اطلاعات کلید رمزنگاری شده اشتراکی را برای شناسایی طرف دیگر ارتباط استفاده کنند. دراین وضعیت که آلیس مهمان و باب میزبان می شود درمورد پروتکل زیرتوافق می کنند.
1- آلیس یک پیام شامل نامش دریک قسمت متنی ساده و یک authenticator رمزنگاری شده در کلید رمز که با باب به اشتراک گذاشته برای او ارسال می کند. دراین پروتکل authenticator یک ساختار داده ای با دوفیلد می باشد. یک فیلد شامل اطلاعات درمورد آلیس است .برای ساده کرده مطلب بیایید این را جای نام آن در نظربگیریم. فیلد دوم شامل زمان جاری در ایستگاه کاری آلیس است.
2- باب پیام را دریافت می کند و بررسی می کند که آیا از طرف آلیس است و از کلیدی که با آلیس به اشتراک گذاشته برای رمزگشایی authenticator استفاده می کند . فیلد شامل زمان ایستگاه کاری آلیس را از آن استخراج کرده و با زمان خود مقایسه می کند. اگر زمان آلیس با ساعت باب همزمان باشند کارباب خیلی آسان میشود .بیایید فرض کنیم که اختلاف زمان (انحراف زمان) هرگز بیشتر از 5 دقیقه نباشد به این ترتیب باب می تواند زمان authenticator را بازمان جاری ساعت خود مقایسه کند . اگر اختلاف آنها بیش از 5 دقیقه بود بصورت اتوماتیک آن را رد کند. اگر انحراف زمان درمحدوده مشخص شده باشد،این احتمال وجوددارد که authenticator از طرف آلیس باشد اما باب هنوز هم مدرکی نداردکه authenticator واقعا از طرف آلیس باشد. ممکن است شخص دیگری در حال نظاره ترافیک شبکه بوده و زودتر از آلیس برای برقراری ارتباط با باب تلاش کند. به هرحال اگر باب زمان authenticator های دریافت شده از آلیس را در 5 دقیقه قبلی ثبت کند، می تواند تلاشها برای زودترجواب دادن را با ردکردن هر پیام با زمان یکسان یا زمان زودترازآخرین authenticator به شکست منتهی کند.اگراین authenticatorزمانی پس از زمان آخرین authenticator رسیده از آلیس تولیدکنداین،پیام باید ازطرف آلیس باشد.
3- باب با استفاده از کلیدی که با آلیس به اشتراک گذاشته زمان پیام آلیس را رمزنگاری کرده ونتیجه را برای او می فرستد. توجه داشته باشید که باب هم اطلاعات authenticator رسیده ازآلیس را باز نمی گرداند (بجززمان) اگراو همه چیزرا دوباره پس بفرستد آلیس هیچ راهی نداردکه بفهمد. شخصی که خودراباب معرفی کرده به سادگیauthenticator را از پیام اصلی کپی کرده و آن را بدون تغییربرای او فرستاده است. اوتنها قسمتی از اطلاعات را که می فرستد تا ثابت کند که قادر به رمزگشایی authenticator و تغییردادن اطلاعات درون آن می باشد. آلیس جواب باب را دریافت می کند آن را رمزگشایی کرده و نتیجه را با زمان در authenticator اصلی مقایسه میکند. اگر زمانها با هم مطابقت داشتند آلیس می تواندمطمئن شود که authenticator او به دست کسی رسیده است که کلیدرمز موردنیاز برای استخراج زمان از authenticator را می داند. او کلید را فقط با باب به اشتراک گذاشته بنابراین حتما باب پیام را دریافت کرده و به آن پاسخ داده است.
شکل 1
یک مشکل در پروتکل ساده ای که شرح داده شد،مقدم بودن قسمتی است که شرح نداده بود چگونه و کجا آلیس وباب کلید رمز را که برای نشستهایشان باهم استفاده می کنند کسب کنند.
اگرمشخص باشند آلیس و باب می توانند مثلا درخیابان باهم ملاقات کرده و درمورد کلید رمزتوافق کنند اما این روش اگر آلیس یک برنامه سرویس گیرنده در حال اجرا روی یک ایستگاه و باب یک سرویس درحال اجرا روی یک سرور شبکه باشد کارنخواهدکرد. این مشکل ادامه دارد زیرا سرویس گیرنده(آلیس) می خواهد با چندین سرور گفتگو کند وبرای هرکدام ازآنها کلیدهایی نیازدارد. همچنین سرور (باب)باتعدادزیادی سرویس گیرنده گفتگو می کند و به همین ترتیب برای هرکدام ازآنها نیازبه کلید دارد. اگرهرسرویس گیرنده نیازبه یک کلیدبرای هرسرور داشته باشد تویع کلید به سرعت تبدیل به مشکل جدی می شود که باید حل شود و ذخیره و محافظت از تعدادزیادی کلید روی تعداد زیادی کامپیوتر یک ریسک امنیتی بی نهایت زیاد دارد.نام پروتکل Kerberos مشخص می کندکه چگونه مشکل توزیع کلید را حل می کند .kerberos یک نماددراساطیریونان باستان –یک سگ سه سر درنده-بودکه ازدروازه دنیای مردگان حفاظت می کرد. همانندkerberos،این پروتکل نیزدارای سه سرمی باشد. یک سرویس گیرنده، یک سرور و trust میانی که دراین پروتکل key distribution center(KDC) نامیده میشود.
KDC سرویسی است که بصورت فیزیکی روی یک سرورامن و محافظت شده درحال اجراست .KDC یک پایگاه داده از اطلاعات account برای قوانین امنیتی درناحیه خوددارد که معادلdomain در ویندوز2k می باشد.(ازاین به بعد آنها را domainمی نامیم) علاوه بربقیه اطلاعات درمورد قوانین امنیتی،KDC یک کلید رمزنگاری شده را ذخیره می کندکه فقط برای قانون امنیتی و KDC شناخته شده است. این کلید برای تعویض بین قانون امنیتی و KDC استفاده شده و به نام long-term key شناخته می شود.دربیشترپیاده سازیهای این پروتکل این مورد توسط پسورد logon کاربر پیاده سازی می شود.
درتئوری،KDC می تواند نقش خودرا به عنوانtrust میانی بوسیله ارسال مستقیم کلیدنشست برای قوانین امنیتی که شامل است انجام دهد(که دربالاشرح داده شد)اما درعمل پیاده سازی این پروسیجر بی نهایت مشکل است .مثلا به سرور باید یک کپی از کلید نشست را تازمانی که منتظر درخواست سرویس گیرنده است درحافظه خودنگه دارد. علاوه برآن سرورنه تنها باید کلید رابرای این سرویس گیرنده بلکه برای هر سرویس گیرنده ای که ممکن است درخواست سرویس کندبخاطر بیاورد. مدیریت کلید ،منابع قابل ملاحظه ای ازسرور را مصرف کرده و بنابراین انعطاف پذیری آن را کاهش می دهد. به همین ترتیب بایک ترافیک شبکه خیالی، درخواست سرویس گیرنده برای سرویس ممکن است قبل از پیام KDC که کلید نشست را اعلام می کند به دست سرور برسد. سرورباید پاسخ به سرویس گیرنده را تازمانی که پیام KDC به دستش برسد معلق نگه دارد و این مستلزم این است که سرور حالت را نیز ذخیره کند که بارزیاد دیگری را به منابع سرور تحمیل می کند.
واقعا چه اتفاقی در پروتکل Kerberos روی می دهد که تا این حد کارآمداست؟
SESSION TICKET :
KDC به درخواستهای سرویس گیرنده ها برای گفتگو با سرور با فرستادن هر دو کپی کلیدنشست برای سرویس گیرنده همانطورکه در شکل 3 نشان داده شده است پاسخ می دهد. کپی کلید نشست سرویس گیرنده توسط کلیدی که KDC با سرویس گیرنده ،share کرده رمزنگاری میشود. کپی کلیدنشست سرورهمراه اطلاعاتی درمورد سرویس گیرنده دریک ساختارداده ای که session ticket نامیده می شود جاسازی می شود. تمام این ساختارتوسط کلیدی که KDC با سرور به اشتراک گذاشته رمزنگاری می شود.ازاین پس مدیریت ticketی که کلید نشست سرورمستقیما در آن قراردارد تازمانی که سرویس گیرنده به سرور متصل شود،به عهده سرویس گیرنده خواهد بود.
شکل3
توجه داشته باشیدکه KDC به سادگی یک سرویس اعطا ticket فراهم می آورد. KDC مسیرپیام خودرا برای اطمینان ازاینکه به مقصدمی رسدیا خیرنگه نمی دارد. اگرپیام KDC دریک مسیرنادرست قراربگیرد هیچ آسیب و صدمه ای ایجاد نمی کند.چون تنهاکسی که کلید رمزسرویس گیرنده را می داند میتواند کپی کلیدنشست سرویس گیرنده رارمزگشایی کندوتنهاکسی که کلید رمزسروررا می داند میتواند اطلاعات درون ticket را بخواند.
هنگامی که سرویس گیرنده پاسخ KDC رادریافت می کند، ticket کپی کلیدنشست را ازآن استخراج میکندو هردورا درون یک cache امن (درون حافظه فرار،نه دیسک)قرارمی دهد. وقتی سرویس گیرنده میخواهد ازطرف سرور پذیرش شودیک پیام برای سرور می فرستدکه شامل ticketهایی است که هنوزباکلیدرمزسرور رمزنگاری شده است و یک authenticator که با کلیدنشست رمزنگاری شده است .ticketوauthenticator هردوباهم گواهینامه سرویس گیرنده برای سرور رافراهم میکنند.
هنگامی که سرور گواهینامه هارااز سرویس گیرنده دریافت می کند ،session ticket رابااستفاده ازکلیدرمز رمزنگشایی کرده و کلیدنشست رااستخراج میکندو کلیدرمز رابرای رمزگشایی authenticator سرویس گیرنده استفاده می کند. اگرهمه چیز چک شد سرورمتوجه میشود که گواهینامه سرویس گیرنده ازطرف یک مرجع قابل اطمینان-KDC- صادرشده است .اگر سرویس گیرنده خواستاریک اعتبارسنجی دوطرفه بودسرور ازکپی کلیدنشست برای رمزنگاری برچسب زمان authenticator سرویس گیرنده استفاده کرده و نتیجه رابعنوان authenticator سروربه سرویس گیرنده بازمی گرداند.
یکی ازمزایایی که بااستفاده از session ticket بدست می آید این است که سرور لازم نیست کلیدنشستی که برای ارتباط با کاربر استفاده میکند راذخیره کند. این مسئولیت سرویس گیرنده است که ticket رابرای سرور در cache گواهینامه خودنگه داردودرهربار دسترسی به سرورآنرا ارائه دهد. هرگاه سروریک session ticket ازسرویس گیرنده دریافت کند،میتواند ازکلیدرمز برای رمزگشایی و استخراج کلیدنشست استفاده کند وسرورنیازی به نگهداری کلیدنشست نداردومی تواند آنرا دوربیاندازد.
یکی دیگرازمزایااین است که سرویس گیرنده نیازی به مراجعه دوباره به KDC برای هرباردسترسی به یک سرور خاص ندارد .session ticket می تواند چندین بار مورداستفاده قراربگیرد. برای احتیاط درمقابل احتمال دزدیده شدن ticket توسط یک شخص دیگر، session ticket یک زمان انقضا داردکه توسط KDC درساختارداده ای ticket قرارگرفته است. مدت زمان اعتبارticket بستگی به سیاست Kerberos برای domain دارد. بطورعمومی ticketها برای بیش از 8 ساعت مناسب نیستند.هنگامی که کاربر logoff می کند،cache گواهینامه خالی شده و تمام session ticket ها وبه تبعه آن تمام کلیدهای نشست نابود میشوند.
منتظر نظراتتون هستم.مرسی.بای بای
پاسخ با نقل قول