Kerberos鑑別

Kerberos鑑別 Kerberos Authentication
Kerberos Authentication Kerberos鑑別 Kerberos鑑別服務是由麻省理工學院的Project Athena針對分散式環境的開放式系統開發的鑑別機制。它已被開放軟體基金會(OSF)的分散式計算環境(DCE)，以及許多網路作業系統供應商所採用。
Kerberos是針對分散式環境而設計的，在這種情況下，一些工作站可能安裝於不安全場所，而且用戶也並非是完全可信的。Kerberos具有如下特點：
客戶在登錄時，將被鑑別。其他客戶相信Kerberos鑑別伺服器已經正確地對客戶進行了驗證。
用戶必須獲得由鑑別伺服器發行的許可證，以使用對象伺服器上的可用服務。產生一個鑑別器，它上面包含一些附加信息，對象伺服器用這些信息與許可證比較，以此來驗證是否進行了合法確認。這個過程是在後台進行的。
許可證提供被鑑別的用戶訪問一個服務時所需的授權資格。
許可證是用個人密鑰加密的，包含客戶的身份、他們的地址、時間戳和其它信息。時間戳用於阻止侵入者，以保護正在網路傳送的、並在幾小時後就會過期的信息。
所有客戶和伺服器間的會話都是暫時的。如果一個客戶需要一個新的會話，就必須獲得一個新的鑑別器。許可證在一定時間之後就會過期，所以客戶需要周期性地獲得新的許可證以訪問特定伺服器。
Kerberos系統要求修改每個網路服務以使用Kerberos。另外，還要求有一個特定的伺服器處理Kerberos鑑別服務。這個系統必須安放在安全場所。另外，如果Kerberos伺服器失效，網路訪問將被切斷，所以建議增設一個冗餘的伺服器。雖然Kerberos的成本較高，但卻為需要它的機構提供了一個安全的環境。