Kerberos
Was ist Kerberos?
KerberosTicket-basiertes Netzwerk-Authentifizierungsprotokoll, das mit symmetrischer Kryptografie und einem vertrauenswürdigen Key Distribution Center sicheres Single Sign-On ermöglicht.
Kerberos wurde am MIT entwickelt und in RFC 4120 standardisiert. Der Client authentifiziert sich beim Key Distribution Center (KDC) und erhält ein Ticket-Granting Ticket (TGT). Mit diesem TGT fordert er anschließend Service-Tickets für einzelne Server an, ohne das Passwort erneut zu übertragen. Tickets sind zeitlich begrenzt und mit gemeinsamen Schlüsseln verschlüsselt; das ermöglicht gegenseitige Authentifizierung und Schutz gegen Replay-Angriffe. Kerberos bildet die Grundlage der Authentifizierung in Active Directory, vielen Linux/Unix-Realms und Hadoop-Installationen. Bekannte Schwächen sind Angriffe auf schwache Service-Account-Passwörter (Kerberoasting), gefälschte Tickets (Golden/Silver Ticket) und Zeitsynchronisationsprobleme; moderne Maßnahmen sind starke Service-Geheimnisse, ausschließlich AES und Constrained Delegation.
● Beispiele
- 01
Ein AD-Nutzer erhält vom Windows-Domain-Controller ein TGT und anschließend ein Service-Ticket für einen SharePoint-Server.
- 02
Hadoop nutzt Kerberos, um die Kommunikation zwischen NameNode und DataNode zu authentifizieren.
● Häufige Fragen
Was ist Kerberos?
Ticket-basiertes Netzwerk-Authentifizierungsprotokoll, das mit symmetrischer Kryptografie und einem vertrauenswürdigen Key Distribution Center sicheres Single Sign-On ermöglicht. Es gehört zur Kategorie Identität und Zugriff der Cybersicherheit.
Was bedeutet Kerberos?
Ticket-basiertes Netzwerk-Authentifizierungsprotokoll, das mit symmetrischer Kryptografie und einem vertrauenswürdigen Key Distribution Center sicheres Single Sign-On ermöglicht.
Wie schützt man sich gegen Kerberos?
Schutzmaßnahmen gegen Kerberos kombinieren typischerweise technische Kontrollen und operative Praktiken, wie in der Definition oben beschrieben.
Welche anderen Bezeichnungen gibt es für Kerberos?
Übliche alternative Bezeichnungen: Kerberos-Protokoll.