Kerberos — احراز هویت مبتنی بر بلیت
ورود یکپارچهٔ دامنهٔ ویندوز. کاربر یک بار از KDC بلیت می‌گیرد و با آن بدون ارسال رمز به سرویس‌های دیگر وارد می‌شود.
- لایهٔ OSI: 7 (کاربرد)
- انتقال: TCP/UDP
- پورت: 88
- استاندارد: RFC 4120
- سطح: پیشرفته · حدود 7 دقیقه
نکته‌های کلیدی
- رمز عبور هرگز روی شبکه نمی‌رود؛ فقط بلیت‌ها و مهرهای زمانی رمزشده.
- KDC دو بخش دارد: AS (صدور TGT) و TGS (صدور بلیت سرویس).
- ساعت‌ها باید حداکثر ۵ دقیقه اختلاف داشته باشند؛ NTP در دامنه حیاتی است. حملات رایج: Kerberoasting و Golden Ticket.
مراحل شبیه‌سازی (6 بسته)
- AS-REQ: امیر وارد ویندوز می‌شود. رایانه زمان فعلی را با کلید مشتق از رمز او رمز می‌کند و بلیت ورود (TGT) می‌خواهد. خود رمز ارسال نمی‌شود.
- AS-REP: KDC زمان را رمزگشایی و درستی آن را بررسی می‌کند، سپس TGT و یک کلید نشست می‌دهد. TGT با کلید krbtgt رمز شده و کاربر نمی‌تواند بازش کند.
- TGS-REQ: امیر پوشهٔ اشتراکی FS01 را باز می‌کند. رایانه با TGT، بلیت سرویس cifs/fs01 را درخواست می‌کند.
- TGS-REP: KDC بلیت سرویس را با کلید حساب FS01 رمز می‌کند.
- AP-REQ: بلیت داخل SESSION_SETUP پروتکل SMB به FS01 داده می‌شود. FS01 با کلید خودش آن را باز می‌کند و نیازی به تماس با KDC ندارد.
- AP-REP: FS01 هم هویت خود را ثابت می‌کند (احراز دوطرفه) و اتصال برقرار می‌شود.
درس‌های مرتبط
- Ethernet — اترنت و سوئیچ
- STP / RSTP — پروتکل درخت پوشا
- VRRP — افزونگی دروازهٔ پیش‌فرض
- 802.1X + RADIUS — کنترل دسترسی مبتنی بر پورت
- LDAP — پروتکل سبک دسترسی به دایرکتوری
- SMB — اشتراک فایل ویندوز