Kerberos
§§IBT7§§¶@definition¶Kerberos — протокол сетевой аутентификации, который использует доверенный центр распределения ключей и билеты, чтобы подтверждать личности сторон без передачи пароля каждому сервису.¶@plain¶После проверки пользователь получает временный билет, а затем запрашивает отдельные билеты для нужных сервисов. Пароль не отправляется по сети при каждом обращении, однако безопасность зависит от ключей, времени и защиты центральной службы.¶@use¶Kerberos широко применяется в доменах Active Directory. При эксплуатации контролируют синхронизацию времени, сервисные учётные записи, стойкость ключей, делегирование и аномальное использование билетов.¶@example¶После входа в домен пользователь получает TGT, а при открытии файлового ресурса — сервисный билет. Сервер проверяет билет и предоставляет доступ согласно правам пользователя.¶@compare¶SAML¦¦SAML передаёт утверждения между участниками федерации, а OAuth 2.0 делегирует доступ к ресурсам и сам по себе не является протоколом входа¶@steps¶Первичный билет¦После проверки клиента центр распределения ключей выдаёт TGT без передачи пароля сервису.¤Билет сервиса¦Клиент предъявляет TGT и получает билет для конкретной службы.¤Проверка¦Служба проверяет билет, срок действия, имя и криптографическую защиту.¤Доступ¦После успешной проверки создаётся контекст безопасности для обращения к ресурсу.¶@resources¶Курсы по безопасности Active Directory¦https://ibcourses.ru/pentest¦Курс¤IAM/PAM в каталоге СЗИ¦https://ibcourses.ru/katalog-ib-resheniy¦Решения¤Пентест Active Directory: проверка безопасности AD¦https://ibcourses.ru/blog-cybersecurity/pentest-active-directory-bezopasnost-ad¦Статья¶@related¶¶@faq¶Как работает Kerberos?¦Клиент получает от доверенного центра билеты и предъявляет их сервисам, не передавая пароль каждому сервису отдельно.¤Что такое TGT и service ticket?¦KDC хранит доверие и выдаёт билеты; его доступность и защита критичны для домена Kerberos.¤Почему Kerberos требует синхронизации времени?¦Kerberos — протокол сетевой аутентификации; OAuth 2.0 делегирует доступ, а SAML передаёт утверждения федерации.