Kerberos (iletişim kuralı)

Kerberos / kərbərəs / güvenli olmayan bir ağ üzerinde haberleşen kaynakların,  bilet mantığını kullanarak kendi kimliklerini ispatlamak suretiyle iletişim kurmalarını sağlayan bir bilgisayar ağı kimlik doğrulama protokolüdür. Protokolün tasarımcıları, ilk başta istemci-sunucu modelini hedef almış ve bu doğrultuda hem kullanıcının hem de sunucunun birbirlerinin kimliklerini doğrulamasını sağlayan karşılıklı kimlik doğrulama özelliğini sunmuşlardır. Kerberos protokol mesajları, izinsiz dinlemelere ve yansıtma ataklarına karşı dayanıklıdır.
Kerberos simetrik anahtar şifreleme üzerine inşa edilmiştir ve güvenilir bir üçüncü doğrulayıcıya (trusted third party) ihtiyaç duyar, isteğe bağlı olarak kimlik doğrulamanın belli aşamalarında açık anahtar şifreleme modelini de kullanabilir. Kerberos varsayılan port olarak UDP 88. portu kullanır.

Microsoft Windows

Windows 2000 ve sonrası
sürümler Kerberos’u temel kimlik doğrulama metodu olarak kullanmaktadır. Kerberos protocol ailesine yönelik bazı Microsoft eklentileri, RFC 3244 "Microsoft Windows 2000 Kerberos Change Password and Set Password Protocols" olarak yazılı hale getirilmiştir. RFC 4757 Microsoft’un RC4 şifre kullanımını anlatır. Microsoft Kerberos protokolünü kullanmakla beraber, MIT yazılımını kullanmaz. 
Kerberos, birincil kimlik doğrulama metodu olarak kullanılır: Genel manada, istemci olarak bir Windows alanına (domain) bağlanmak, istemciden ilgili Windows alanına ve bu alan ile ilintili bütün doğrulanmış alanlara yönelik kimlik doğrulama servisleri için Kerberos’u varsayılan protocol olarak ayarlamak anlamına gelmektedir.
Bu durumun aksine, istemci veya sunucudan biri veya ikisi birden bir alana katılmamış ise (veya aynı güvenilen alan ortamının parçası değilse), Windows istemci ve sunucu arasındaki kimlik doğrulamasını gerçekleştirmek için Kerberos yerine NTLM kullanır.

UNIX tabanlı işletim sistemleri

Birçok Unıx tabanlı işletim sistemi, FreeBSD, Mac OS X, Red Hat Enterprise Linux, Oracle's Solaris, IBM AIX and Z/OS, HP OpenVMS dahil olmak üzere, kullanıcı ve servislerin Kerberos kimlik doğrulaması için yazılımlar barındırırlar. Gömülü platformlarda çalışan istemciler ve ağ servisleri için gömülü Kerberos V kimlik doğrulama vesiyonları TeamF1, Inc gibi firmalar tarafından sunulmaktadır.

Tanım

İstemci kendisini, KDC (Key Distribution Center) adı verilen anahtar dağıtım merkezine istemciden aldığı kullanıcı adını gönderen bir kimlik doğrulama sunucusuna (AS) tanıtır. KDC doğrulanmış bileti (TGT) zaman damgası ile birlikte onaylar, kullanıcının parolası ile şifreler ve şifrelenmiş halini kullanıcının ortamına gönderir. Gönderim işlemi çok sık olmamakta, genellikle kullanıcı girişi sırasında; TGT'nin belli bir süre sonra zaman aşımına uğraması sonucu, kullanıcıya hissettirilmeden kullanıcının oturum yöneticisi tarafından yenilenir.
İstemci, başka bir kaynağa (Kerberos dilinde "principal") ulaşması gerekirse, TGT'sini (ticket-granting ticket) KDC ile aynı sunucuyu paylaşan TGS'ye (ticket-granting service) gönderir. TGT'nin geçerliliği doğrulandıktan ve kullanıcı talep ettiği servise ulaşım izni aldıktan sonra TGS bileti ve oturum anahtarlarını imzalar ve istemciye geri gönderir. İstemci daha sonra bileti servis sunucusuna servis isteği ile beraber gönderir.
Protokol detayları şöyle açıklanabilir:

Açıklıklar

Kasım 2014'te, Microsoft, KDC(Key Distirbution Center)'deki sömürülebilecek bir açıklığı onaran bir yama(MS14-068) yayınladı. Öyle görünüyor ki açılık, kullanıcıların alan(domain) seviyesine çıkacak kadar, haklarını yükseltmelerine(kötüye kullanmalarına) olanak sağlamaktadır.