Kerberos认证过程.docxVIP

Kerberos认证示意图Kerberos认证过程具体如下：首先Tom 在试图登录E-learning时要输入jAcount帐号和密码，本机的Kerberos服务会向AS认证服务器发送一个认证请求。该请求主要包括两部分内容，明文形式的用户名，和一个应用密码经过Kerberos加密的用于证明访问者身份的Authenticator。AS收到请求之后后通过Tom发过来的用户名从数据库中查出密码，然后用密码生成密钥对认证信息解密。如果如果解密后的内容和已知的内容一致，则证明Tom提供的密码正确，即确定了登录者的真实身份。AS成功认证Tom的身份之后，会先生成一个用于确保该用户和软件学院门户TGS of SE之间通信安全的会话秘钥——Logon Session Key，并采用Tom的密码派生的秘钥进行加密。AS接着为该用户创建“认购权证”——TGT。TGT主要包含两方面的内容：用户相关信息和Logon Session Key，而整个TGT则通过AS自己的密钥进行加密。最终，被不同密钥加密的Logon Session Key和TGT返回给客户端Tom。Tom需要使用E-leaning服务器，则需要向TGS发送一个ST（Service Ticket）购买请求，该请求主要包含如下的内容：Tom用户名；通过Logon Session Key加密的Authenticator；TGT和访问的服务器（E-leaning）名。TGS接收到请求之后，现通过自己的密钥解密TGT并获取Logon Session Key，然后通过Logon Session Key解密Authenticator，进而验证了对方的真实身份。TGS完成对Tom的认证之后，会生成一个用于确保Tom与E-leaning服务器之间通信安全的会话秘钥——Service Session Key，该会话秘钥通过Logon Session Key进行加密。然后出售给Tom需要的入场券——ST。ST主要包含两方面的内容：客户端Tom用户信息和Service Session Key，整个ST通过E-leaning服务器密码派生的秘钥进行加密。最终两个被加密的Service Session Key和ST回复给Tom。客户端接收到TGS回复后，通过缓存的Logon Session Key解密获取Service Session Key。同时它也得到了进入E-leaning服务器的入场券——ST。该Serivce Session Key和ST被Tom缓存。Tom向E-leaning服务器发出访问请求，内容包括ST与通过Service Session Key加密的Authenticator。E-leaning服务器在接收到请求之后，先通过自己密码派生的秘钥解密ST，并从中提取Service Session Key。然后通过提取出来的Service Session Key解密Authenticator，进而验证了客户端的真实身份。E-leaning服务将解密后的Authenticator再次用Service Session Key进行加密，并发挥给客户端。客户端再用缓存的Service Session Key进行解密，如果和之前的内容完全一样，则可以证明Tom正在访问的服务器和自己拥有相同的Service Session Key，与E-leaning服务器完成双向认证