Kerberos: Anmeldung mit Tickets

Kurz: Ein Anmeldeverfahren, bei dem du dich einmal beim Server für Tickets ausweist und danach ohne erneute Passworteingabe auf Dienste zugreifst.

Genauer: Kerberos ist ein Authentifizierungsprotokoll, das in Windows-Domänen (Active Directory) und vielen Unix-Umgebungen verwendet wird. Das Passwort wird nie über das Netz geschickt. Stattdessen stellt eine vertrauenswürdige dritte Stelle, das Key Distribution Center (KDC), zeitlich begrenzte Tickets aus.

Im Detail

Die Beteiligten

• Client: dein Rechner bzw. du als Benutzer.
• KDC mit zwei Teilen: dem Authentication Server (AS) und dem Ticket Granting Server (TGS).
• Dienst: zum Beispiel ein Dateiserver oder eine Datenbank. Alle Schlüssel werden aus Passwörtern abgeleitet oder liegen als Geheimnisse beim KDC und beim Dienst.

Ablauf in drei Schritten

1. Anmeldung (AS): Der Client weist sich beim AS aus und erhält ein Ticket Granting Ticket (TGT), das mit einem Schlüssel des KDC verschlüsselt ist.
2. Dienstticket (TGS): Mit dem TGT bittet der Client das TGS um ein Ticket für einen bestimmten Dienst.
3. Zugriff: Der Client legt dem Dienst das Dienstticket vor. Der Dienst kann es entschlüsseln, weil nur er und das KDC den passenden Schlüssel kennen. Das Passwort wird nur zu Beginn gebraucht. Danach genügen die Tickets, was Single Sign-on ermöglicht.

Zeit und Schutz

Tickets gelten meist etwa zehn Stunden. Beigelegte Zeitstempel („Authenticator“) verhindern, dass abgefangene Tickets später wiederverwendet werden. Deshalb müssen die Uhren aller Beteiligten nur wenige Minuten abweichen, sonst scheitert die Anmeldung. Namen werden über SPN (Service Principal Name) zugeordnet, und DNS muss stimmen.

Typische Angriffe

Pass-the-Ticket und Golden Ticket verwenden gestohlene oder gefälschte Tickets. Kerberoasting fordert Dienst-Tickets für Konten mit SPN an und versucht, das Passwort offline zu erraten, wenn es schwach ist. Gegenmaßnahmen: lange, zufällige Passwörter für Dienstkonten, Überwachung auffälliger Ticket-Anfragen und regelmäßiges Ändern geheimer Schlüssel.

Siehe auch: Authentifizierung, Single Sign-on, LDAP