Kerberos实验系统设计和分析.docVIP

Kerberos实验系统设计和分析 　　摘要：Kerberos是University of Massachusetts设计开发的一种认证。本Kerberos系统由六台主机组成，其中一台作为Kerberos系统的服务器兼主KDC，两台作为从KDC，另外三台分别作为telnet服务器、FTP服务器和客户机。部署Kerberos基础结构涉到安装KDC，为主机创建密钥以及迁移用户。重新配置Kerberos部署与执行初始部署一样困难，因此要认真规划部署以避免必须进行重新配置。 　　关键词：Kerberos；认证协议；KDC 　　中图分类号：TP393 文献标识码：A 文章编号：1009-3044（2015）24-0037-03 　　Design and Analysis of Kerberos Experimental System 　　YU Shui-qin 　　（Department of Computer Science， Sichuan Post and Telecommunication College， Chengdu 610067， China） 　　Abstract： Kerberos is a kind of authentication for the design and development of of Massachusetts University. The Kerberos system is made up of six hosts， one of which is the server and master Kerberos system as the KDC system， two as from KDC， and the other three as telnet server， FTP server and client. The deployment of the Kerberos infrastructure involves the installation of KDC， creating keys for the host， and migrating users. Reconfiguration of Kerberos is as difficult as the implementation of the initial deployment， and therefore must be carefully planned to avoid the need to be re configured. 　　Key words： Kerberos； authentication protocol； KDC 　　所谓认证协议就是指在网络实体之间秘密进行发送、接收、确认等操作的非否认性或安全认证。哪怕是讨论最基本的，只有3-4个实体，交换的消息只有4-6条，要设计，认证一个这样的协议也非常麻烦。事实证明要开发，设计一个认证协议是非常复杂的一项工作，现在很多组织结构，大型公司致力于这项工作。 　　在一个分布式的client/server体系结构中采用一个或多个Kerberos服务器提供一个认证服务。从用户的角度来看，启动Kerberos会话后，Kerberos服务通常不可见。一些命令（如telnet或ftp）也是如此。初始化Kerberos会话通常仅包括登录和提供Kerberos口令。 　　1 Kerberos验证过程 　　Kerberos验证分为两个阶段：允许进行后续验证的初始验证以及所有后续验证自身。 　　1.1 初始验证―票证授予票证 　　客户机（用户或应用服务器）通过从密钥分发中心（KeyDistributionCenter，KDC）请求票证授予票证（Ticket-GrantingTicket，TGT）开始Kerberos会话。此请求通常在登录时自动完成。 　　KDC可创建票证授予票证，并采用加密形式将其发送回客户机。客户机使用其口令来解密票证授予票证。 　　拥有有效的TGT（票证授予票证）后，只要该TGT未到期，客户机便可以请求所有类型的网络操作（如rlogin或telnet）的票证。此票证的有效期通常为几个小时。每次客户机执行唯一的网络操作时，都将从KDC请求该操作的票证。 　　1.2 启动Kerberos验证 　　1）客户机通过向KDC发送其票证授予票证作为其身份证明，从KDC请求特定服务（例如，远程登录到另一台计算机）的票证。 　　2）KDC将该特定服务的票证发送到客户机。 　　例如，假定用户joe在服务器boston上使用rlogin。因为这个用户早已通过验证（也就是说这个用户已经拿到票证授予票证），所以当运行到rlogin时，这个