Hvad er en godkendelsesbillet?
En godkendelsesbillet er en sikkerhedskomponent i Kerberos netværkssikkerhedsprotokol. Det fungerer som noget af et token, en lille samling af data, der sendes mellem en klientcomputer og en server, så de to computere kan bevise identitet over for hinanden. Ud over denne gensidige netværksidentifikation beskriver billetten også, hvilke tilladelser klienten har til at få adgang til serveren og dens tjenester, samt en tid, der er afsat til sessionen.
Der er hovedsageligt to typer godkendelsesbillet. En billetudstedende billet (TGT), også kaldet en billet til at få billetter, er den primære billet, der udstedes, når klientcomputeren først fastlægger sin identitet. Denne type billet varer typisk i en lang periode, op til 10 timer eller mere, og kan fornyes når som helst i den periode, hvor brugeren er logget på netværket. Med en TGT kan brugeren derefter anmode om individuelle godkendelsesbilletter for at få adgang til andre servere på netværket.
En klient til server-billet, også kaldet en session-billet, er den anden form for godkendelsesbillet. Dette er typisk en kortvarig billet, der uddeles, når en klient ønsker at få adgang til en service på en bestemt server. Sessionskortet indeholder klientcomputerens netværksadresse, brugeroplysninger og en varighed, hvor billetten er gyldig. I nogle Kerberos-implementeringer, såsom Microsofts Active Directory®, kan en tredje type billet, kaldet en henvisningskort, også bruges. Denne billetype tildeles, når en klient ønsker at få adgang til en server, der bor på et domæne adskilt fra sit eget.
Den måde, Kerberos-billetudstedelsessystemet fungerer på, er gennem brugen af en separat server, kendt som nøgledistribution Center (KDC), der leverer hele godkendelsesbillet-systemet. Denne maskine har to underkomponenter, der kører, hvoraf den første er kendt som godkendelsesserver (AS). AS kender alle de andre computere og brugere på netværket og opbevarer en database med deres adgangskoder. Når en bruger logger på netværket, giver AS ham en TGT.
På det tidspunkt, hvor en bruger har brug for at få adgang til en server et sted på netværket, bruger han TGT, der er givet tidligere, og anmoder om en servicekort fra den anden del af KDC, kaldet billetudstedelsesserveren (TGS). TGS sender en sessionskort tilbage til brugeren, som derefter kan bruge den til at få adgang til den server, han anmodede om. Når serveren modtager sessionbilletten, sender den en anden meddelelse tilbage til brugeren, der bekræfter dens identitet, og at brugeren har adgang til den anmodede service. I tilfælde af en henvisningskort kræves et ekstra trin, hvor KDC for hjemmedomæne i stedet opretter en henvisningsbillet, der giver klienten mulighed for at anmode om sessionbilletter fra et andet KDC på et andet netværksdomæne. Hele denne billetgenerations- og delingsproces er krypteret på hvert trin undervejs for at beskytte mod en angriber, der aflytter eller maskerer sig som bruger.
Den primære ulempe ved godkendelsesbilletmetoden er den centraliserede struktur for alle tilladelser. Hvis en angriberen formår at få adgang til KDC, får han i det væsentlige adgang til alle brugeridentiteter og adgangskoder og kan derefter efterligne nogen. Hvis KDC ikke bliver tilgængelig, ville ingen være i stand til at bruge netværket. Et andet problem er de detaljerede livscyklusser for billetterne, som kræver, at alle computere på netværket har deres ure synkroniseret.