windtear 追求完美: Kerberos 超级安全的强认证协议
01-28
版权声明：可以任意转载，转载时请务必以超链接形式标明文章原始出处和作者信息及本声明。
http://windtear.net/2012/04/kerberos.html
Kerberos 是一种超级超级安全的强认证协议 在不安全的环境里也能达到安全的效果
基于Kerberos 能做到帐号集中管理 分级授权方便 也可以做到SSO 单点登录 支持漫游
同时也对机器时间 主机名 DNS等做到了规范
国外很多大学机构都用她 Windows认证也是用的Kerberos
这是我在人人小站写的一段描述
2008年和 Kerberos 开始亲密接触 更早只有简单了解 没太在意
2009年开始推广使用至今已3年 非常伟大的设计 超级安全 不怕监听 双向认证
Kerberos MIT 实现的官方站点
http://web.mit.edu/Kerberos/
认证过程3次交互简单描述：
Client 向KDC 申请TGT：KDC 生成Session-Key(SKDC-Client)，用Client的密钥(密码的salt hash)加密SKDC-Client，然后和TGT一块发给Client (KDC也可要求Client先证明自己)
Client 向KDC 获取某Server的 Ticket：TGT原样给 KDC，把用SKDC-Client加密的自己的信息和要访问Server的信息 发给 KDC，KDC检查无误后发 Ticket
Client 向 Server 出示Ticket 证明自己(也可要求Server证明自己)