Kerberos

Kerberos は MIT で開発され、RFC 4120 として標準化されました。クライアントはまず鍵配布センター(KDC)に対して認証を行い、Ticket-Granting Ticket(TGT)を受け取ります。以後、クライアントはこの TGT を用いてサーバーごとのサービスチケットを取得するため、パスワードを繰り返し送信する必要がありません。チケットは有効期限を持ち、共有鍵で暗号化されるため、相互認証とリプレイ防止を実現します。Kerberos は Active Directory、多くの Linux/Unix レルム、Hadoop の認証基盤を支えています。弱いサービスアカウントパスワードを狙う Kerberoasting、チケット偽造(Golden/Silver Ticket)、クロックずれといった既知の弱点があり、現代の対策は強力なサービス秘密、AES のみの暗号化、制約付き委任を組み合わせます。