48.6.3. Kerberos の仕組み

Kerberos は、ユーザー名/パスワードの認証方法とは異なります。Kerberos は、各ユーザーを各ネットワークサービスに対して認証する代わりに、対称暗号化と信頼できるサードパーティー(KDC)を使用して、ネットワークサービススイートに対してユーザーを認証します。ユーザーが KDC に対して認証を行うと、KDC はそのセッションに固有のチケットをユーザーのマシンに送信し、Kerberos 対応のサービスは、ユーザーがパスワードを使用して認証を要求するのではなく、ユーザーのマシンでチケットを検索します。

Kerberos 対応のネットワーク上のユーザーがワークステーションにログインすると、認証サーバーからの TGT の要求の一部としてプリンシパルが KDC に送信されます。この要求は、ログインプログラムによりユーザーに透過的となるように送信したり、ユーザーのログイン後に kinit プログラムから送信したりできます。

次に KDC はデータベース内でプリンシパルをチェックします。プリンシパルが見つかると、KDC は TGT を作成します。TGT は、ユーザーのキーを使用して暗号化され、そのユーザーに戻ります。

クライアント上のログインまたは kinit プログラムはユーザーの鍵を使用して TGT を復号化します。これは、ユーザーのパスワードから計算します。ユーザーのキーはクライアントマシン上でのみ使用され、ネットワーク上では送信されません。

TGT は、一定期間 (通常は 10 から 15 時間) の後に期限切れに設定され、クライアントマシンの認証情報キャッシュに保存されます。セキュリティーの破られた TGT が攻撃者に利用される時間を短くするために、有効期限が設定されています。TGT の発行後、TGT の有効期限が切れるまで、もしくはログアウトして再度ログインするまで、ユーザーはパスワードを再入力する必要はありません。

ユーザーがネットワークサービスにアクセスする必要がある場合は、クライアントソフトウェアは TGT を使用して TGS からその特定のサービスの新しいチケットを要求します。サービスチケットはその後、そのサービスに対して透過的にユーザーを認証するために使用されます。

これは、Kerberos 認証の仕組みの幅広い概要です。詳細は、「関連情報」 を参照してください。