Kerberos
O Kerberos é um protocolo de autenticação de rede de computadores, que funciona com base em bilhetes (tickets) para permitir que nós se comunicando em uma rede insegura provem sua identidade uns aos outros de maneira segura. Seus projetistas o direcionaram principalmente para um modelo cliente-servidor e ele fornece autenticação mútua — tanto o usuário quanto o servidor verificam a identidade um do outro. As mensagens do protocolo Kerberos são protegidas contra escutas (eavesdropping) e ataques de repetição.
Imagem: Triloboii · BY-SA · Openverse
O Instituto de Tecnologia de Massachusetts (MIT) desenvolveu o Kerberos em 1988 para proteger os serviços de rede fornecidos pelo Projeto Athena. Sua primeira versão foi projetada principalmente por Steve Miller e Clifford Neuman, baseando-se no anterior protocolo de chave simétrica Needham-Schroeder. As versões 1 a 3 do Kerberos foram experimentais e não foram lançadas fora do MIT. A versão 4 do Kerberos, a primeira versão pública, foi lançada em 24 de janeiro de 1989. Como o Kerberos 4 foi desenvolvido nos Estados Unidos e utilizava o algoritmo de encriptação Data Encryption Standard (DES), as restrições de controle de exportação dos EUA impediram que ele fosse exportado para outros países. O MIT criou uma versão exportável do Kerberos 4 com todo o código de encriptação removido, chamada "Bones". Eric Young, da Universidade Bond na Austrália, reimplementou o DES no Bones, criando uma versão chamada "eBones", que podia ser usada livremente em qualquer país. O Instituto Real de Tecnologia da Suécia lançou outra reimplementação chamada KTH-KRB.
Imagem: diffendale · BY-NC-SA · Openverse
Descrição
O cliente se autentica no Servidor de Autenticação (AS - Authentication Server), que faz parte do centro de distribuição de chaves (KDC - Key Distribution Center). O KDC emite um ticket de concessão de ticket (TGT - Ticket-Granting Ticket), que possui um carimbo de data/hora (timestamp), criptografa-o usando a chave secreta do serviço de concessão de ticket (TGS - Ticket-Granting Service) e retorna o resultado criptografado para a estação de trabalho do usuário. Isso é feito de forma infrequente, normalmente no logon do usuário; o TGT expira em algum momento, embora possa ser renovado de forma transparente pelo gerenciador de sessão do usuário enquanto ele estiver logado.
Imagem: Following Hadrian · BY-SA · Openverse
Microsoft Windows
O Windows 2000 e versões posteriores utilizam o Kerberos como seu método de autenticação padrão. Algumas adições da Microsoft ao conjunto de protocolos Kerberos estão documentadas na RFC 3244 "Microsoft Windows 2000 Kerberos Change Password and Set Password Protocols". A RFC 4757 documenta o uso da cifra RC4 pela Microsoft. Embora a Microsoft utilize e estenda o protocolo Kerberos, ela não usa o software do MIT. O Kerberos é usado como o método de autenticação preferido: em geral, ingressar um cliente em um domínio Windows significa ativar o Kerberos como o protocolo padrão para autenticações desse cliente para serviços no domínio Windows e em todos os domínios com relações de confiança com esse domínio.
Unix e outros sistemas operacionais
Muitos sistemas operacionais semelhantes ao Unix, incluindo FreeBSD, macOS da Apple, Red Hat Enterprise Linux, Solaris da Oracle, AIX da IBM, HP-UX e outros, incluem software para autenticação Kerberos de usuários ou serviços. Uma variedade de sistemas operacionais não baseados em Unix, como z/OS, IBM i e OpenVMS, também apresentam suporte ao Kerberos. Implementações embarcadas do protocolo de autenticação Kerberos V para agentes clientes e serviços de rede em execução em plataformas embarcadas também estão disponíveis por meio de empresas do setor.
Imagem: Following Hadrian · BY-SA · Openverse
A cifra Data Encryption Standard (DES) pode ser usada em combinação com o Kerberos, mas não é mais um padrão da Internet por ser considerada fraca. Existem vulnerabilidades de segurança em produtos que implementam versões herdadas (legadas) do Kerberos que carecem de suporte para cifras de criptografia mais recentes, como o AES.
