Kerberiseeritud süsteemi kirjeldus - Redigeerimiste ajalugu

Imre: Lehekülg "Kerberos" teisaldatud pealkirja "Kerberiseeritud süsteemi kirjeldus" alla

2010-06-27T17:32:23Z

Lehekülg "Kerberos" teisaldatud pealkirja "Kerberiseeritud süsteemi kirjeldus" alla

←Vanem redaktsioon	Redaktsioon: 27. juuni 2010, kell 17:32
(Erinevus puudub)

Triinu: /* Piletiserver */

2007-01-26T08:48:23Z

Piletiserver

←Vanem redaktsioon		Redaktsioon: 26. jaanuar 2007, kell 08:48
122. rida:		122. rida:
	Vaatleme töötavat süsteemi piletiserveri seisukohast. Ilmselt peab ta saama hakkama korraga mitmete kasutajate ja teenustega.		Vaatleme töötavat süsteemi piletiserveri seisukohast. Ilmselt peab ta saama hakkama korraga mitmete kasutajate ja teenustega.

	Iga kasutaja käivitab programmi kinit ja autendib end oma parooliga Kerberosele ainult üks kord. Tulemusena saab ta endale piletiserveri pileti ja piletiserveri seansivõtme, so piletiserveri volituse. Edasine kasutaja autentimine toimub kasutajale nähtamatult. Piletitel on tavaliselt kehtivusaeg ~~kaheksa~~ tundi, kuivõrd teoreetiliselt on neid võimalik jõuga lahti murda. Järgmine kord peab kasutaja lunastama omale uue piletiserveri volituse kui ta on selle hävitanud või kehtivusaeg on möödunud.		Iga kasutaja käivitab programmi kinit ja autendib end oma parooliga Kerberosele ainult üks kord. Tulemusena saab ta endale piletiserveri pileti ja piletiserveri seansivõtme, so piletiserveri volituse. Edasine kasutaja autentimine toimub kasutajale nähtamatult. Piletitel on tavaliselt kehtivusaeg 8 tundi, kuivõrd teoreetiliselt on neid võimalik jõuga lahti murda. Järgmine kord peab kasutaja lunastama omale uue piletiserveri volituse, kui ta on selle hävitanud või kehtivusaeg on möödunud.

	Et töötava Kerberose piletiserver saaks end Kerberosele autentinud kasutajaid teenindada, peab ta teadma iga kasutaja piletiserveri seansivõtit. Kõik muu saladuste hoidmine ja suhtlemine toimub juba teenuse ja kasutaja vahel, väljaarvatud uute teenuste volituste lunastamine piletiserverilt.		Et töötava Kerberose piletiserver saaks end Kerberosele autentinud kasutajaid teenindada, peab ta teadma iga kasutaja piletiserveri seansivõtit. Kõik muu saladuste hoidmine ja suhtlemine toimub juba teenuse ja kasutaja vahel, väljaarvatud uute teenuste volituste lunastamine piletiserverilt.

Triinu: /* Piletiserver autendib esmakordselt kasutaja */

2007-01-26T08:44:14Z

Piletiserver autendib esmakordselt kasutaja

←Vanem redaktsioon		Redaktsioon: 26. jaanuar 2007, kell 08:44
91. rida:		91. rida:

	* teenuse piletist		* teenuse piletist
	* teenuse seansivõtmest		* teenuse seansivõtmest


	===Kasutaja suhtleb piletiserveriga===		===Kasutaja suhtleb piletiserveriga===

Triinu: /* Kasutaja autendib teenuse */

2007-01-26T08:43:13Z

Kasutaja autendib teenuse

←Vanem redaktsioon		Redaktsioon: 26. jaanuar 2007, kell 08:43
71. rida:		71. rida:
	Kasutaja soovib, et teda teenindav teenus oleks ehtne. Näiteks Priit, saates printi iskliku sisuga materjale soovib, et need väljuksid tema printerist ja mitte Mardi printerist koridori lõpus.		Kasutaja soovib, et teda teenindav teenus oleks ehtne. Näiteks Priit, saates printi iskliku sisuga materjale soovib, et need väljuksid tema printerist ja mitte Mardi printerist koridori lõpus.

	Selleks lisandub ülalkirjeldatud skeemile teine pool. Peale seda, kui printserver lubab end kasutada ja enne seda, kui prinditav töö talle saadetakse, tahab klient saada teenuselt vastust. Vastus peab sisaldama seansivõtmega krüptitud kasutajanime. Kui kasutajat teenidab ~~võlts-server~~, mis ei tea õige serveri parooli, siis ei saa ta ka piletit lahti krüptida ning sealt teada teenuse seansivõtit. Niisiis, ta ei saa saata ~~kliendile~~ rahuldavat vastust.		Selleks lisandub ülalkirjeldatud skeemile teine pool. Peale seda, kui printserver lubab end kasutada ja enne seda, kui prinditav töö talle saadetakse, tahab klient saada teenuselt vastust. Vastus peab sisaldama seansivõtmega krüptitud kasutajanime. Kui kasutajat teenidab võltsserver, mis ei tea õige serveri parooli, siis ei saa ta ka piletit lahti krüptida ning sealt teada teenuse seansivõtit. Niisiis, ta ei saa kliendile saata rahuldavat vastust.

	===Piletiserver autendib esmakordselt kasutaja===		===Piletiserver autendib esmakordselt kasutaja===

Triinu: /* Autentikaator */

2007-01-26T08:42:07Z

Autentikaator

←Vanem redaktsioon		Redaktsioon: 26. jaanuar 2007, kell 08:42
55. rida:		55. rida:
	Peab olema välistatud võimalus pileteid näpata ja neid kellegi teise nimel kasutada. Selleks esitab kasutaja printserverile autentikaatori		Peab olema välistatud võimalus pileteid näpata ja neid kellegi teise nimel kasutada. Selleks esitab kasutaja printserverile autentikaatori

	{ kasutaja nimi : kasutaja IP aadress : loomisaeg : kehtivusaeg } teenuse seansivõti		{ kasutaja nimi : kasutaja IP-aadress : loomisaeg : kehtivusaeg } teenuse seansivõti

	Kasutatava autentikaatori saab luua vaid õige kasutaja, kuna eeldatavasti puudub teistel kasutajatel vastav printserveri teenuse seansivõti.		Kasutatava autentikaatori saab luua vaid õige kasutaja, kuna eeldatavasti puudub teistel kasutajatel vastav printserveri teenuse seansivõti.
63. rida:		63. rida:
	Soovides hiljem veel trükkida, kasutab Priit sama printserveri piletit, kuid genereerib uue autentikaatori.		Soovides hiljem veel trükkida, kasutab Priit sama printserveri piletit, kuid genereerib uue autentikaatori.

	Kui pahalane Mart kuulab võrku pealt ja olles kinni püüdnud Priidu printserveri pileti ning seejärel oma tööjaama veennud, et ta on priit ja muutnud ka IP numbri vastavaks, siis ei saa ta ikkagi end usutavalt printserverile priiduna esitada. ~~Põhjusel~~, et tal puudub printserveri ja tõelise priidu vaheline saladus - teenuse seansivõti~~. Ta~~ ei saa luua sobivat autentikaatorit.		Kui pahalane Mart kuulab võrku pealt ja olles kinni püüdnud Priidu printserveri pileti ning seejärel oma tööjaama veennud, et ta on priit ja muutnud ka IP-numbri vastavaks, siis ei saa ta ikkagi end usutavalt printserverile priiduna esitada. Põhjus see, et tal puudub printserveri ja tõelise priidu vaheline saladus - teenuse seansivõti ning ta ei saa luua sobivat autentikaatorit.

	Mart võiks võrku kuulates kinni püüda printserverisse liikuvad priidu autentikaatori ja printserveri pileti ning esitada need teenusele hiljem korraga, peale ~~selle~~, kui ta on oma tööjaama vastavalt ~~ümberhäälestanud~~. See ei lähe läbi, kuna autentikaator on vaid kord tarvitatav ja tõenäoliselt jõuab Priidu saadetis teenuseni enne kui võlts.		Mart võiks võrku kuulates kinni püüda printserverisse liikuvad priidu autentikaatori ja printserveri pileti ning esitada need teenusele hiljem korraga, peale seda, kui ta on oma tööjaama vastavalt ümber häälestanud. See ei lähe läbi, kuna autentikaator on vaid kord tarvitatav ja tõenäoliselt jõuab Priidu saadetis teenuseni enne kui võlts.

	===Kasutaja autendib teenuse===		===Kasutaja autendib teenuse===

Triinu: /* Printserveri teenuse pilet */

2007-01-26T08:39:03Z

Printserveri teenuse pilet

←Vanem redaktsioon		Redaktsioon: 26. jaanuar 2007, kell 08:39
35. rida:		35. rida:
	Teenuse pilet sisaldab järgmist infot ja, et kasutajad ei saaks pileteid võltsida, on see krüptitud teenuse parooliga		Teenuse pilet sisaldab järgmist infot ja, et kasutajad ei saaks pileteid võltsida, on see krüptitud teenuse parooliga

	{ teenuse nimi : teenuse seansivõti : kasutajanimi : kasutaja IP aadress : loomisaeg : kehtivusaeg } teenuse parool		{ teenuse nimi : teenuse seansivõti : kasutajanimi : kasutaja IP-aadress : loomisaeg : kehtivusaeg } teenuse parool

	Toodud tähistus märgib seda, et ~~kuus~~ piletis sisalduvat elementi on krüptitud teenuse parooliga.		Toodud tähistus märgib seda, et 6 piletis sisalduvat elementi on krüptitud teenuse parooliga.

	Teenuse parool on teenuse ja piletiserveri vaheline saladus.		Teenuse parool on teenuse ja piletiserveri vaheline saladus.
49. rida:		49. rida:
	Lisaks saab teenus piletist teada, millisel IP-aadressil asuvale kasutajale on piletiserver selle pileti väljastanud. Piletis olev teenuse seansivõti on vajalik kasutaja autentikaatori lahtikrüptimiseks.		Lisaks saab teenus piletist teada, millisel IP-aadressil asuvale kasutajale on piletiserver selle pileti väljastanud. Piletis olev teenuse seansivõti on vajalik kasutaja autentikaatori lahtikrüptimiseks.

	Teenuse piletid on krüptitud teenuse parooliga ja sellisena võib neid võrgus liigutada eeldusel, et parooli teab vaid ~~piletiserveri~~ ja vastav teenus. Kui pahalane Mart võrku pealt kuulab ja pileti endale kopeerib ning püüab seda kasutada, siis ta ei saa seda teha, kuna piletis on kirjas, kellele on pilet väljastatud.		Teenuse piletid on krüptitud teenuse parooliga ja sellisena võib neid võrgus liigutada eeldusel, et parooli teab vaid piletiserver ja vastav teenus. Kui pahalane Mart võrku pealt kuulab ja pileti endale kopeerib ning püüab seda kasutada, siis ta ei saa seda teha, kuna piletis on kirjas, kellele on pilet väljastatud.

	===Autentikaator===		===Autentikaator===

Jj – 6. november 2006, kell 21:26

2006-11-06T21:26:31Z

←Vanem redaktsioon		Redaktsioon: 6. november 2006, kell 21:26
1. rida:		1. rida:
	~~===Kerberos===~~

	~~Kerberos~~
	~~Teenus autendib kasutaja~~
	~~Kasutaja autendib teenuse~~
	~~Piletiserver autendib esmakordselt kasutaja~~
	~~Kasutaja suhtleb piletiserveriga~~
	~~Piletiserver~~
	~~Kerberiseeritud tarkvara~~

	===Kerberos===		===Kerberos===

Jj – 6. november 2006, kell 21:24

2006-11-06T21:24:43Z

←Vanem redaktsioon		Redaktsioon: 6. november 2006, kell 21:24
1. rida:		1. rida:
	~~'''~~Kerberos~~'''~~		===Kerberos===

	Kerberos		Kerberos
9. rida:		9. rida:
	Kerberiseeritud tarkvara		Kerberiseeritud tarkvara

	~~'''~~Kerberos~~'''~~		===Kerberos===

	Kerberos on avalikus võrgus toimiv teenuste ja kasutajate autentimissüsteem.		Kerberos on avalikus võrgus toimiv teenuste ja kasutajate autentimissüsteem.
31. rida:		31. rida:
	Materjal vastab MITi viiendale Kerberose versioonile.		Materjal vastab MITi viiendale Kerberose versioonile.

	~~'''~~Teenus autendib kasutaja~~'''~~		===Teenus autendib kasutaja===

	Tööjaama taga istuv kasutaja priit soovib printida. Jälgime kuidas teenus autendib kasutaja.		Tööjaama taga istuv kasutaja priit soovib printida. Jälgime kuidas teenus autendib kasutaja.
40. rida:		40. rida:
	* autentikaator (ingl. k. authenticator).		* autentikaator (ingl. k. authenticator).

	~~'''~~Printserveri teenuse pilet~~'''~~		===Printserveri teenuse pilet===

	Teenuse pilet sisaldab järgmist infot ja, et kasutajad ei saaks pileteid võltsida, on see krüptitud teenuse parooliga		Teenuse pilet sisaldab järgmist infot ja, et kasutajad ei saaks pileteid võltsida, on see krüptitud teenuse parooliga
60. rida:		60. rida:
	Teenuse piletid on krüptitud teenuse parooliga ja sellisena võib neid võrgus liigutada eeldusel, et parooli teab vaid piletiserveri ja vastav teenus. Kui pahalane Mart võrku pealt kuulab ja pileti endale kopeerib ning püüab seda kasutada, siis ta ei saa seda teha, kuna piletis on kirjas, kellele on pilet väljastatud.		Teenuse piletid on krüptitud teenuse parooliga ja sellisena võib neid võrgus liigutada eeldusel, et parooli teab vaid piletiserveri ja vastav teenus. Kui pahalane Mart võrku pealt kuulab ja pileti endale kopeerib ning püüab seda kasutada, siis ta ei saa seda teha, kuna piletis on kirjas, kellele on pilet väljastatud.

	~~'''~~Autentikaator~~'''~~		===Autentikaator===

	Peab olema välistatud võimalus pileteid näpata ja neid kellegi teise nimel kasutada. Selleks esitab kasutaja printserverile autentikaatori		Peab olema välistatud võimalus pileteid näpata ja neid kellegi teise nimel kasutada. Selleks esitab kasutaja printserverile autentikaatori
76. rida:		76. rida:
	Mart võiks võrku kuulates kinni püüda printserverisse liikuvad priidu autentikaatori ja printserveri pileti ning esitada need teenusele hiljem korraga, peale selle, kui ta on oma tööjaama vastavalt ümberhäälestanud. See ei lähe läbi, kuna autentikaator on vaid kord tarvitatav ja tõenäoliselt jõuab Priidu saadetis teenuseni enne kui võlts.		Mart võiks võrku kuulates kinni püüda printserverisse liikuvad priidu autentikaatori ja printserveri pileti ning esitada need teenusele hiljem korraga, peale selle, kui ta on oma tööjaama vastavalt ümberhäälestanud. See ei lähe läbi, kuna autentikaator on vaid kord tarvitatav ja tõenäoliselt jõuab Priidu saadetis teenuseni enne kui võlts.

	~~'''~~Kasutaja autendib teenuse~~'''~~		===Kasutaja autendib teenuse===

	Kasutaja soovib, et teda teenindav teenus oleks ehtne. Näiteks Priit, saates printi iskliku sisuga materjale soovib, et need väljuksid tema printerist ja mitte Mardi printerist koridori lõpus.		Kasutaja soovib, et teda teenindav teenus oleks ehtne. Näiteks Priit, saates printi iskliku sisuga materjale soovib, et need väljuksid tema printerist ja mitte Mardi printerist koridori lõpus.
82. rida:		82. rida:
	Selleks lisandub ülalkirjeldatud skeemile teine pool. Peale seda, kui printserver lubab end kasutada ja enne seda, kui prinditav töö talle saadetakse, tahab klient saada teenuselt vastust. Vastus peab sisaldama seansivõtmega krüptitud kasutajanime. Kui kasutajat teenidab võlts-server, mis ei tea õige serveri parooli, siis ei saa ta ka piletit lahti krüptida ning sealt teada teenuse seansivõtit. Niisiis, ta ei saa saata kliendile rahuldavat vastust.		Selleks lisandub ülalkirjeldatud skeemile teine pool. Peale seda, kui printserver lubab end kasutada ja enne seda, kui prinditav töö talle saadetakse, tahab klient saada teenuselt vastust. Vastus peab sisaldama seansivõtmega krüptitud kasutajanime. Kui kasutajat teenidab võlts-server, mis ei tea õige serveri parooli, siis ei saa ta ka piletit lahti krüptida ning sealt teada teenuse seansivõtit. Niisiis, ta ei saa saata kliendile rahuldavat vastust.

	~~'''~~Piletiserver autendib esmakordselt kasutaja~~'''~~		===Piletiserver autendib esmakordselt kasutaja===

	Selleks, et Kerberos kasutaja eest piletite õiendamisega tegeleks, peab kasutaja kõige alguses lunastama piletiserveri volituse. Selle hankimine toimub tavaliselt käsitsi ja see on ainus kord, kus kasutaja peab oma parooli sisestama ja seda kasutatakse.		Selleks, et Kerberos kasutaja eest piletite õiendamisega tegeleks, peab kasutaja kõige alguses lunastama piletiserveri volituse. Selle hankimine toimub tavaliselt käsitsi ja see on ainus kord, kus kasutaja peab oma parooli sisestama ja seda kasutatakse.
103. rida:		103. rida:


	~~'''~~Kasutaja suhtleb piletiserveriga~~'''~~		===Kasutaja suhtleb piletiserveriga===

	Jälgime, kuidas kasutaja omandab piletiserverilt printserveri kasutamise volituse, so printserveri pileti ja seansivõtme.		Jälgime, kuidas kasutaja omandab piletiserverilt printserveri kasutamise volituse, so printserveri pileti ja seansivõtme.
128. rida:		128. rida:
	Kui kasutaja on omandanud mitmete teenuste pileteid, siis on tal olemas ka vastavad seansivõtmed; ühesõnaga, mitmete teenuste volitused. Kasutaja hoiab neid volituste laos (ingl. k. credential cache), mis võib asuda nii failis, kui arvuti mälus.		Kui kasutaja on omandanud mitmete teenuste pileteid, siis on tal olemas ka vastavad seansivõtmed; ühesõnaga, mitmete teenuste volitused. Kasutaja hoiab neid volituste laos (ingl. k. credential cache), mis võib asuda nii failis, kui arvuti mälus.

	~~'''~~Piletiserver~~'''~~		===Piletiserver===

	Vaatleme töötavat süsteemi piletiserveri seisukohast. Ilmselt peab ta saama hakkama korraga mitmete kasutajate ja teenustega.		Vaatleme töötavat süsteemi piletiserveri seisukohast. Ilmselt peab ta saama hakkama korraga mitmete kasutajate ja teenustega.
138. rida:		138. rida:
	Tekstis me ütlesime, et piletiserveri volituse saab kasutaja peale programmi kinit kasutamist. Tegelikult võib olla süsteem seatud nii, et kui kasutaja end tööjaama oma kasutajanime ja parooliga sisse logib, suhtlebki ta juba Kerberosega. Peale õnnestunud sisselogimist on tal sel moel automaatselt piletiserveri volituse omanik ja edaspidi temalt parooli ei küsita.		Tekstis me ütlesime, et piletiserveri volituse saab kasutaja peale programmi kinit kasutamist. Tegelikult võib olla süsteem seatud nii, et kui kasutaja end tööjaama oma kasutajanime ja parooliga sisse logib, suhtlebki ta juba Kerberosega. Peale õnnestunud sisselogimist on tal sel moel automaatselt piletiserveri volituse omanik ja edaspidi temalt parooli ei küsita.

	~~'''~~Kerberiseeritud tarkvara~~'''~~		===Kerberiseeritud tarkvara===

	Soovides lisada võrku uue teenuse ja korraldada nii, et teenus autendiks kasutajaid Kerberose abil, peab olema teenus ja teda tarvitavad kasutajate klientprogrammid kerberiseeritud.		Soovides lisada võrku uue teenuse ja korraldada nii, et teenus autendiks kasutajaid Kerberose abil, peab olema teenus ja teda tarvitavad kasutajate klientprogrammid kerberiseeritud.

Jj – 22. oktoober 2006, kell 13:54

2006-10-22T13:54:56Z

←Vanem redaktsioon		Redaktsioon: 22. oktoober 2006, kell 13:54
119. rida:		119. rida:

	Illustreerime öeldut skeemiga		Illustreerime öeldut skeemiga

			[[Image:kerb4.jpg]]

	Klient teab piletiserveri seansivõtit ja kasutab seda printserveri seansivõtme lahtikrüptimiseks. Seejärel moodustab ta printserveri jaoks autentikaatori. Omades lõpuks nii printserveri piletit kui ka autentikaatorit, saab ta printida.		Klient teab piletiserveri seansivõtit ja kasutab seda printserveri seansivõtme lahtikrüptimiseks. Seejärel moodustab ta printserveri jaoks autentikaatori. Omades lõpuks nii printserveri piletit kui ka autentikaatorit, saab ta printida.

Jj – 22. oktoober 2006, kell 13:53

2006-10-22T13:53:54Z

Uus lehekülg

'''Kerberos'''

Kerberos
Teenus autendib kasutaja
Kasutaja autendib teenuse
Piletiserver autendib esmakordselt kasutaja
Kasutaja suhtleb piletiserveriga
Piletiserver
Kerberiseeritud tarkvara

'''Kerberos'''

Kerberos on avalikus võrgus toimiv teenuste ja kasutajate autentimissüsteem.

Skeem kujutab arvutivõrku: klient, teenus, piletiserver ja pahalane

Kerberose piletiserver Teenus, printserver
___ ___ ___
| | | | | |
| | ______________ | | ____________ | |
--- _|_ --- ---
| | Priit, klient
|___|
Mart, pahalane

Klientprogramm esindab kasutajat ja saab kasutada teenust ainult sel juhul, kui tal on selleks volitus (ingl. k. credential). Piletiserveri ülesanne on nende volituste laialijagamine.

Järgnevates osades kirjeldame, kuidas Kerberosel põhinev autentimissüsteem sisuliselt töötab. Et lugejal oleks materjali hõlpsam jälgida, kõneleme konkreetsest olukorrast, kus kasutaja priit tarvitab tööjaamas klientprogrammi ja soovib printida printserverile. Lisaks vaatleme paralleelselt, kuidas samale võrgule füüsilist ligipääsu omav pahalane Mart ei saa tarvitada Priidu nimel teenuseid.

Materjal vastab MITi viiendale Kerberose versioonile.

'''Teenus autendib kasutaja'''

Tööjaama taga istuv kasutaja priit soovib printida. Jälgime kuidas teenus autendib kasutaja.

Süsteem on korraldatud nii, et kui kasutaja soovib tarvitada printserveri teenust, peab ta kõigepealt veenma printserverit, et tal on õigus seda teha. Selleks peab tal olema teenusele esitada:

* teenuse pilet (ingl. k. ticket) ja
* autentikaator (ingl. k. authenticator).

'''Printserveri teenuse pilet'''

Teenuse pilet sisaldab järgmist infot ja, et kasutajad ei saaks pileteid võltsida, on see krüptitud teenuse parooliga

{ teenuse nimi : teenuse seansivõti : kasutajanimi : kasutaja IP aadress : loomisaeg : kehtivusaeg } teenuse parool

Toodud tähistus märgib seda, et kuus piletis sisalduvat elementi on krüptitud teenuse parooliga.

Teenuse parool on teenuse ja piletiserveri vaheline saladus.

Kuna teenus ise teab oma parooli, siis saab ta lahti krüptida talle esitatud õigeid piletid. Pilet kehtib, kui:

* Pileti lahtikrüptimine õnnestub. Siit järeldub, et pileti on väljastanud piletiserver.
* Pileti loomis- ja kehtivusajast järeldub, et pilet on veel kasutatav. Tavaliselt on pileti kehtivusaeg kaheksa tundi.
* Piletis sisalduv teenuse nimi on selle teenuse oma, kes piletiga parasjagu tegeleb.

Lisaks saab teenus piletist teada, millisel IP-aadressil asuvale kasutajale on piletiserver selle pileti väljastanud. Piletis olev teenuse seansivõti on vajalik kasutaja autentikaatori lahtikrüptimiseks.

Teenuse piletid on krüptitud teenuse parooliga ja sellisena võib neid võrgus liigutada eeldusel, et parooli teab vaid piletiserveri ja vastav teenus. Kui pahalane Mart võrku pealt kuulab ja pileti endale kopeerib ning püüab seda kasutada, siis ta ei saa seda teha, kuna piletis on kirjas, kellele on pilet väljastatud.

'''Autentikaator'''

Peab olema välistatud võimalus pileteid näpata ja neid kellegi teise nimel kasutada. Selleks esitab kasutaja printserverile autentikaatori

{ kasutaja nimi : kasutaja IP aadress : loomisaeg : kehtivusaeg } teenuse seansivõti

Kasutatava autentikaatori saab luua vaid õige kasutaja, kuna eeldatavasti puudub teistel kasutajatel vastav printserveri teenuse seansivõti.

Peale seda, kui printserver on lahti krüptinud teenuse pileti ja saanud sealt teada tema ja kasutaja vahelise saladuse, teenuse seansivõtme, asub ta lahti krüptima kasutaja autentikaatorit. Juhul, kui autentikaatori lahtikrüptimine õnnestub ja selles sisalduv kasutajanimi ning masina IP langevad kokku piletis sisalduvatega ning kehtivusaeg pole möödas, on kasutaja ehtsus kindlaks tehtud. Autentikaator on vaid üks kord kasutatav ja kehtivusaeg on mõni minut. Teenuse pilet kehtib tavaliselt kaheksa tundi.

Soovides hiljem veel trükkida, kasutab Priit sama printserveri piletit, kuid genereerib uue autentikaatori.

Kui pahalane Mart kuulab võrku pealt ja olles kinni püüdnud Priidu printserveri pileti ning seejärel oma tööjaama veennud, et ta on priit ja muutnud ka IP numbri vastavaks, siis ei saa ta ikkagi end usutavalt printserverile priiduna esitada. Põhjusel, et tal puudub printserveri ja tõelise priidu vaheline saladus - teenuse seansivõti. Ta ei saa luua sobivat autentikaatorit.

Mart võiks võrku kuulates kinni püüda printserverisse liikuvad priidu autentikaatori ja printserveri pileti ning esitada need teenusele hiljem korraga, peale selle, kui ta on oma tööjaama vastavalt ümberhäälestanud. See ei lähe läbi, kuna autentikaator on vaid kord tarvitatav ja tõenäoliselt jõuab Priidu saadetis teenuseni enne kui võlts.

'''Kasutaja autendib teenuse'''

Kasutaja soovib, et teda teenindav teenus oleks ehtne. Näiteks Priit, saates printi iskliku sisuga materjale soovib, et need väljuksid tema printerist ja mitte Mardi printerist koridori lõpus.

Selleks lisandub ülalkirjeldatud skeemile teine pool. Peale seda, kui printserver lubab end kasutada ja enne seda, kui prinditav töö talle saadetakse, tahab klient saada teenuselt vastust. Vastus peab sisaldama seansivõtmega krüptitud kasutajanime. Kui kasutajat teenidab võlts-server, mis ei tea õige serveri parooli, siis ei saa ta ka piletit lahti krüptida ning sealt teada teenuse seansivõtit. Niisiis, ta ei saa saata kliendile rahuldavat vastust.

'''Piletiserver autendib esmakordselt kasutaja'''

Selleks, et Kerberos kasutaja eest piletite õiendamisega tegeleks, peab kasutaja kõige alguses lunastama piletiserveri volituse. Selle hankimine toimub tavaliselt käsitsi ja see on ainus kord, kus kasutaja peab oma parooli sisestama ja seda kasutatakse.

Praktiliselt käivitab kasutaja peale tööjaama sisselogimist programmi kinit ja saadab piletiserverile oma kasutajanime. Piletiserver teeb kindlaks, kas selline kasutaja tema andmebaasis eksisteerib ja kui, siis saab kasutajale vastu piletiserveri volituse. See jõuab kohale kahes osas:

* piletiserveri pilet
* piletiserveri seansivõti krüptituna kasutaja parooliga

{ piletiserveri seansivõti } kasutaja parool

Kasutaja teab oma parooli ja suudab seansivõtme lahti krüptida ning saab hakata suhtlema piletiserveriga. Vastasel korral mitte.

Tõepoolest, pahalane Mart saab küll võrku kuulates napsata Priidule mõeldud piletiserveri pileti ja krüptitud seansivõtme, kuid ta ei saa nendega suurt midagi teha, niikaua kui ta ei tea Priidu parooli.

Üldiselt koosneb teenuse volitus:

* teenuse piletist
* teenuse seansivõtmest

'''Kasutaja suhtleb piletiserveriga'''

Jälgime, kuidas kasutaja omandab piletiserverilt printserveri kasutamise volituse, so printserveri pileti ja seansivõtme.

Esmalt pöördub Priit printserveri poole, kuid kliendi tarkvara näeb, et pole printserveri volitust. Ta moodustab piletiserveri seansivõtmega autentikaatori ning saadab piletiserverile oma piletiserveri pileti, selle autentikaatori ja soovi, et tahab saada printserveri kasutamise volitust.

Piletiserver autendib kasutaja ning kui see õnnestub, siis saadab vastu nõutud volituse

* printserveri pileti
* piletiserveri seansivõtmega krüptitud printserveri seansivõtme

{ printserveri seansivõti } piletiserveri seansivõti

Kasutaja ja teenuse vahelise saladuse - seansivõtme genereerib piletiserver.

Illustreerime öeldut skeemiga

Klient teab piletiserveri seansivõtit ja kasutab seda printserveri seansivõtme lahtikrüptimiseks. Seejärel moodustab ta printserveri jaoks autentikaatori. Omades lõpuks nii printserveri piletit kui ka autentikaatorit, saab ta printida.

Sama teenusega korduval suhtlemisel kasutatakse olemasolevat teenuse volitust: teenuse seansivõtmega moodustab kasutaja iga kord uue autentikaatori ja saadab selle koos teenuse piletiga teenusele.

Kui kasutaja on omandanud mitmete teenuste pileteid, siis on tal olemas ka vastavad seansivõtmed; ühesõnaga, mitmete teenuste volitused. Kasutaja hoiab neid volituste laos (ingl. k. credential cache), mis võib asuda nii failis, kui arvuti mälus.

'''Piletiserver'''

Vaatleme töötavat süsteemi piletiserveri seisukohast. Ilmselt peab ta saama hakkama korraga mitmete kasutajate ja teenustega.

Iga kasutaja käivitab programmi kinit ja autendib end oma parooliga Kerberosele ainult üks kord. Tulemusena saab ta endale piletiserveri pileti ja piletiserveri seansivõtme, so piletiserveri volituse. Edasine kasutaja autentimine toimub kasutajale nähtamatult. Piletitel on tavaliselt kehtivusaeg kaheksa tundi, kuivõrd teoreetiliselt on neid võimalik jõuga lahti murda. Järgmine kord peab kasutaja lunastama omale uue piletiserveri volituse kui ta on selle hävitanud või kehtivusaeg on möödunud.

Et töötava Kerberose piletiserver saaks end Kerberosele autentinud kasutajaid teenindada, peab ta teadma iga kasutaja piletiserveri seansivõtit. Kõik muu saladuste hoidmine ja suhtlemine toimub juba teenuse ja kasutaja vahel, väljaarvatud uute teenuste volituste lunastamine piletiserverilt.

Tekstis me ütlesime, et piletiserveri volituse saab kasutaja peale programmi kinit kasutamist. Tegelikult võib olla süsteem seatud nii, et kui kasutaja end tööjaama oma kasutajanime ja parooliga sisse logib, suhtlebki ta juba Kerberosega. Peale õnnestunud sisselogimist on tal sel moel automaatselt piletiserveri volituse omanik ja edaspidi temalt parooli ei küsita.

'''Kerberiseeritud tarkvara'''

Soovides lisada võrku uue teenuse ja korraldada nii, et teenus autendiks kasutajaid Kerberose abil, peab olema teenus ja teda tarvitavad kasutajate klientprogrammid kerberiseeritud.

Klient peab volituse puudumisel oskama selle endale nõuda. Koostama seejärel autentikaatori ja selle koos teenuse piletiga teenusele ära saatma. Teenus peab saabunud pileti ja autentikaatori abil tuvastama, kas kasutaja on ehtne.

Praktiliselt tuleb kerberiseeritud tarkvara saamiseks kompileerimisel näidata, kas soovitakse saada kerberiseeritud versioone või mitte.

Lihtsam on nende teenustega, millele saab 'õpetada' kerberost PAMi moodulite abil.

© EENet 2000