Вступ. 
Протокол Kerberos

Протокол Kerberos був створений більше десяти років тому в Массачусетському технологічному інституті в рамках проекту Athena. Однак загальнодоступним цей протокол став, починаючи з версії 4. Після того, як фахівці вивчили новий протокол, автори розробили і запропонували чергову версію — Kerberos 5, яка була прийнята в якості стандарту IETF. Вимоги реалізації протоколу викладені в документі RFC 1510, крім того, в специфікації RFC 1964 описується механізм і формат передачі жетонів безпеки в повідомленнях Kerberos.

Kerberos 5 є розвитком четвертої версії, включає всю попередню функціональність і містить безліч розширень. Однак з точки зору реалізації Kerberos 5 є абсолютно новим протоколом.

Основною причиною появи п’ятої версії була неможливість розширення. Згодом, атака повним перебором на DES, що використовується в Kerberos 4 стала актуальна, але поля в повідомленнях мали фіксований розмір і використовувати більш стійкий алгоритм шифрування стало неможливо.

Для вирішення даної проблеми було вирішено створити розширюваний протокол з можливістю використання на різних платформах на основі технології ASN.1. Це дозволило використовувати в транзакціях різні типи шифрування. Завдяки цьому була реалізована сумісність з попередньою версією. Крім того у KDC з’являється можливість вибирати найбільш безпечний протокол шифрування, підтримуваний сторонами.

Крім того оригінальний протокол Kerberos 4 схильний до перебору по словнику. Дана уразливість пов’язана з тим, що KDC видає на вимогу зашифрований TGT будь-якому клієнту. Важливість даної проблеми також наголошує на тому, що користувачі зазвичай вибирають прості паролі.

Щоб ускладнити проведення даної атаки, в Kerberos 5 було введено попереднє встановлення автентичності. На даному етапі KDC вимагає, щоб користувач засвідчив свою особистість перш, ніж йому буде виданий мандат.

За попередню аутентифікацію відповідає політика KDC, якщо вона потрібна, то користувач при першому запиті до СА отримає повідомлення KRB_ERROR. Це повідомлення скаже клієнтові, що необхідно відправляти AS_REQ запит зі своїми даними для встановлення автентичності. Якщо KDC не впізнав їх, то користувач отримає ще одне повідомлення KRB_ERROR, що повідомляє про помилку, і TGT не буде виданий.

Протокол Kerberos пропонує механізм взаємної аутентифікації клієнта і сервера перед встановленням зв’язку між ними, причому в протоколі врахований той факт, що початковий обмін інформацією між клієнтом і сервером відбувається в незахищеному середовищі, а передані пакети можуть бути перехоплені і модифіковані. Іншими словами, протокол ідеально підходить для застосування в Інтернет і аналогічних мережах.