Kerberos 5协议的安全分析.docVIP

Kerberos 5协议的安全分析 　　摘要:Kerberos协议是一个被广泛采用的、基于可信任第三方提供安全认证服务的网络认证协议。利用共享的会话密钥,Kerberos协议保证了通信的机密性和完整性。描述了Kerberos5协议最新版本的基本原理,介绍了协议的详细过程,通过对比前一版本,分析了其改进之处和仍存在的不足。 　　关键词:Kerberos协议;安全分析;认证 　　 　　Security Analysis of Kerberos 5 Protocol 　　SHAO Ye-qin, TU Zhong-qun,ZHANG Xiao-rong 　　(Modern Education Technology Center, Nantong University, Nantong 226001, China) 　　Abstract: Kerberos is a widely-adopted network authentication protocol, which provides secure authentication service based on the trusted third-party. By exploiting a shared key, Kerberos ensures the confidentiality and integrity for a session. This paper describes the basic principles of the newly- issued version, introduces the detailed procedure of the protocol and by being compared with the previous version, analyze the improvement and faults of Kerberos 5. 　　Key words: kerberos protocol; security analysis; authentication 　　随着网络的不断普及,网络安全事件变得越来越频繁,网络安全也越来越受到人们的关注。网络安全协议作为网络安全通信的基础,对其的研究和分析具有重要的意义。Kerberos协议作为一个基于可信任第三方的安全认证协议,由于能保障通信的机密性和完整性,已经内嵌在Windows,RedHat Linux等操作系统中,并逐渐为更多网络软件所支持,正成为业界研究的热点。 　　1 Kerberos 5协议 　　Kerberos协议是麻省理工学院为Athena项目设计的一个网络认证协议。它允许用户在非安全的网络环境中只要一次认证,就可以安全地访问网络中所有需要的应用。Kerberos协议以域为单位进行管理,每个域中有若干个客户端(Client),多个应用服务器(Application Server),一个认证服务器(Authentication Server,AS)和一个票据授权服务器(Ticket Granting Server,TGS)。协议的示意图如1所示。 　　其中,认证服务器负责认证用户帐号信息和产生可证明用户身份的票据授权票据(Ticket-Granting Ticket,TGT),并把TGT返回给客户端,由客户端保存。凭借这个TGT,用户不需要再次认证就可访问所需的所有应用。为了完成认证,认证服务器需要事先保存所有用户的帐号信息。 　　票据授权服务器负责所在域中各应用服务器的访问票据的授权。客户端需要访问应用服务器时,将保存在本地的TGT发送给TGS,TGS对其验证通过后,产生应用服务器的访问票据(Ticket)并授权给客户端。为了完成授权,每个应用服务器需要事先在票据授权服务器中注册,确定一个能证明自己身份的共享密钥。 　　有些情况下,AS和TGS放在一个服务器上,合称为KDC(Key Distribution Center)。KDC作为可信赖的第三方,负责协调客户端和应用服务器的安全通信。 　　Kerberos协议的处理过程如下: 　　1) Client以明文的方式向AS发送认证请求KRB_AS_REQ,请求自己与TGS服务器通信的会话密钥。请求的内容为:{options,idc,realm,idtgs,times1,nonce1} 　　其中,options表示如何处理该请求的一些选项;times1表示所申请票据寿命相关的时间字段,包括了票据寿命的起止时间,票据的最大续订时间等;nonce1表示一个随机数,用于保证响应的新鲜。 　　2) AS向Client发送认证响应KRB_AS_REP,将生成的Client与TGS的会话密钥一份加密后返回