KERBEROSKERBEROS

Autores: Lucas Medaber Jambo Alves PaesAutores: Lucas Medaber Jambo Alves Paes

Priscila Pecchio Belmont AlbuquerquePriscila Pecchio Belmont Albuquerque

2007/12007/1

Professor: Otto Carlos Muniz Bandeira DuarteProfessor: Otto Carlos Muniz Bandeira Duarte

Redes de Computadores IRedes de Computadores I

IntroduçãoIntrodução

• O que é o Kerberos?O que é o Kerberos? - - Protocolo de AutenticaçãoProtocolo de Autenticação

• Origem do nome: Origem do nome: Mitologia Grega (Mitologia Grega (CerberusCerberus))

• Projeto Athena – MITProjeto Athena – MIT ((Massachusets Institute ofMassachusets Institute of TechnologyTechnology))

““The Internet is an insecure place”The Internet is an insecure place”

• Não há computador mais seguro do que aquele desconectado e desligado.Não há computador mais seguro do que aquele desconectado e desligado.

Propostas do KerberosPropostas do Kerberos

• SegurançaSegurança

• ConfiabilidadeConfiabilidade

• TransparênciaTransparência

• EscalabilidadeEscalabilidade

FuncionamentoFuncionamento

• Key Distribution CenterKey Distribution Center (KDC) (KDC)

- Banco de dados que guarda os Banco de dados que guarda os usuários e serviços do domínio usuários e serviços do domínio Kerberos.Kerberos.

- Servidor Centralizado, responsável Servidor Centralizado, responsável pela autenticação do usuário.pela autenticação do usuário.

- Compartilha uma chave secreta com Compartilha uma chave secreta com cada servidor.cada servidor.

- Engloba o AS (- Engloba o AS (Authentication ServerAuthentication Server) ) e o TGS (e o TGS (Ticket Granting ServerTicket Granting Server))

FuncionamentoFuncionamento

• Authentication Server (AS)

- Fornece o Ticket Granting Ticket Fornece o Ticket Granting Ticket ao cliente.ao cliente.

- Ticket Granting Ticket?Ticket Granting Ticket?

- Chave encriptada (“Chave de Chave encriptada (“Chave de Sessão”), baseada na senha do Sessão”), baseada na senha do usuário.usuário.

FuncionamentoFuncionamento

• Ticket Granting Ticket (TGT)Ticket Granting Ticket (TGT)

- Concedido ao cliente pelo AS.Concedido ao cliente pelo AS.

- É necessário para a requisição É necessário para a requisição

de serviços específicos.de serviços específicos.

- Expira em poucas horas, Expira em poucas horas,

evitando falsificaçõesevitando falsificações.

FuncionamentoFuncionamento

• Ticket Granting Ticket (TGT)Ticket Granting Ticket (TGT)

Ektgs [ Kc,tgs || IDc || ADc || IDtgs || TS || Lifetime ]

Onde:

Ektgs : Encriptação com uma chave conhecida apenas pelo AS e pelo TGS

Kc,tgs : Chave de sessão entre cliente e TGS

ADc : Endereço da workstation. Previne o uso do ticket através de uma workstation

diferente da que requisitou o ticket

TS : Informa o tempo em que o ticket foi criado

Uma Análise VisualUma Análise Visual

Cliente Authentication Server

Requisita o ticket-granting ticket

TGT + Chave de Sessão

FuncionamentoFuncionamento

• Ticket Granting Server (TGS)Ticket Granting Server (TGS)

- Recebe um TGT do cliente Recebe um TGT do cliente

para fazer a autenticação.para fazer a autenticação.

- Concede um ticket para um Concede um ticket para um

serviço em particular.serviço em particular.

FuncionamentoFuncionamento

• Service Granting Ticket Service Granting Ticket

Ekserver [ Kc,v || IDc || ADc || IDv || TS || Lifetime ]

Onde:

Ekserver : Encriptação com uma chave conhecida apenas pelo TGS e pelo Servidor

Kc,v : Chave de sessão entre cliente e o servidor

ADc : Endereço da workstation. Previne o uso do ticket através de uma workstation

diferente da que requisitou o ticket.

TS : Informa o tempo em que o ticket foi criado

Uma Análise VisualUma Análise Visual

Cliente Authentication Server

Requisita o service-granting ticket

Envia o TGT

Ticket-granting Server

SGT + Chave de Sessão

Uma Análise VisualUma Análise Visual

Requisita o serviço

Envia o SGT

Serviço

Server

Authentication Server

Ticket-granting Server

Cliente

FuncionamentoFuncionamento

• Chave de SessãoChave de Sessão

- Associada a cada cliente.- Associada a cada cliente.

- Chave temporária, para a comunicação - Chave temporária, para a comunicação entre as entidades e o KDC.entre as entidades e o KDC.

- Fica armazenada na Base de Dados.- Fica armazenada na Base de Dados.

Uma analogia com o mundo realUma analogia com o mundo real

- Evento = Serviço disponível Evento = Serviço disponível na redena rede

- Órgão Expedidor de Órgão Expedidor de Carteiras = ASCarteiras = AS

- Carteira de Estudante = TGTCarteira de Estudante = TGT

- Bilheteria do Evento = TGS- Bilheteria do Evento = TGS

Cross Realm AuthenticationCross Realm Authentication

• Realm

- Domínio KerberosDomínio Kerberos- Ambiente: Servidor + Registros de usuários e senhas

(Base de Dados) + chaves secretassecretas compartilhada com servidores.

• Comunicação entre dois Comunicação entre dois realmsrealms..

CaracterísticasCaracterísticas

• Problemas e LimitaçõesProblemas e Limitações

- Senha Fraca.Senha Fraca.

- Intrusos monitorando Intrusos monitorando aplicações alteradas.aplicações alteradas.

- Segurança do Servidor Segurança do Servidor responsável pela Base de responsável pela Base de DadosDados.

Versão 4 X Versão 5Versão 4 X Versão 5

Exemplos de Diferenças:

- Tipo de Criptografia - Versão 4: algoritmo DES de encriptação, baseadobaseado em chave

simétrica. - Versão 5: identificador do tipo de encriptação.

- Tempo de vida do Ticket - Versão 4: Poucas horas, ruim para simulações longas. - Versão 5: Tempos explícitos de início e fim, permitindo valores

arbitrários.

Porém...As duas versões são passíveis de ataques às senhas, portentativas!

Considerações FinaisConsiderações Finais

• Protocolo de autenticação Protocolo de autenticação third-partythird-party ( um ( um sistema de confiança tripla).sistema de confiança tripla).

• Uma terceira entidade, o Kerberos, existe entre Uma terceira entidade, o Kerberos, existe entre o cliente e o servidor, com o objetivo de o cliente e o servidor, com o objetivo de garantir a segurança na comunicação entre os garantir a segurança na comunicação entre os dois.dois.

• Oferece integridade e confiabilidade nas Oferece integridade e confiabilidade nas mensagens encaminhadas através da redemensagens encaminhadas através da rede.

PerguntasPerguntas

1)1) Qual o objetivo da implantação do Qual o objetivo da implantação do protocolo Kerberos em uma rede?protocolo Kerberos em uma rede?

R: O objetivo da implantação do protocolo Kerberos em R: O objetivo da implantação do protocolo Kerberos em

uma rede é prover um processo seguro de uma rede é prover um processo seguro de autenticação em aplicações do tipo usuário e servidorautenticação em aplicações do tipo usuário e servidor.

PerguntasPerguntas

2)2) Para que serve o Ticket Granting Ticket? Para que serve o Ticket Granting Ticket? Quem o concede?Quem o concede?

R: O Ticket Granting Ticket é concedido pelo R: O Ticket Granting Ticket é concedido pelo Authentication Server à máquina cliente, onde está o Authentication Server à máquina cliente, onde está o usuário. Serve para identificar o usuário ao Ticket usuário. Serve para identificar o usuário ao Ticket Granting Server, e realizar a requisição de serviços Granting Server, e realizar a requisição de serviços específicos.específicos.

PerguntasPerguntas

3) O que é o Cross Realm Authentication?3) O que é o Cross Realm Authentication?

R: O cross realm authentication é a possibilidade de um R: O cross realm authentication é a possibilidade de um usuário pertencente a um determinado realm fazer o usuário pertencente a um determinado realm fazer o pedido de um serviço a um servidor pertencente a um pedido de um serviço a um servidor pertencente a um outro realm. Os servidores também podem estar outro realm. Os servidores também podem estar dispostos a oferecerem serviços a usuários de outros dispostos a oferecerem serviços a usuários de outros realms, uma vez que estes usuários estejam realms, uma vez que estes usuários estejam autenticados.autenticados.

PerguntasPerguntas

4)4) Cite 2 problemas que o Kerberos pode Cite 2 problemas que o Kerberos pode apresentar.apresentar.

R: Dois problemas que o Kerberos pode ter são: a R: Dois problemas que o Kerberos pode ter são: a escolha de uma senha fraca pelo usuário (uma senha escolha de uma senha fraca pelo usuário (uma senha facilmente dedutível), e o fornecimento de uma senha facilmente dedutível), e o fornecimento de uma senha a uma aplicação anteriormente modificada e a uma aplicação anteriormente modificada e monitorada por algum intruso, a fim de coletar monitorada por algum intruso, a fim de coletar informações do usuário.informações do usuário.

PerguntasPerguntas

5)5) Cite 2 diferenças entre a versão 4 e a versão 5 Cite 2 diferenças entre a versão 4 e a versão 5 do protocolo.do protocolo.

R:R: A dependência do tipo de encriptação do sistema: a versão A dependência do tipo de encriptação do sistema: a versão 4 utiliza o DES e a versão 5 pode utilizar outro tipo de 4 utiliza o DES e a versão 5 pode utilizar outro tipo de encriptação pois possui um identificador para o tipo de encriptação pois possui um identificador para o tipo de criptografia utilizado. criptografia utilizado.

O tempo de expiração dos tickets: A versão 4 possui um O tempo de expiração dos tickets: A versão 4 possui um tempo máximo para a vida do ticket, o que é ruim para uma tempo máximo para a vida do ticket, o que é ruim para uma simulações de longa duração, por exemplo. Na versão 5, simulações de longa duração, por exemplo. Na versão 5, os tickets têm tempo de vida arbitrários, com tempo os tickets têm tempo de vida arbitrários, com tempo explícito de início e fim.explícito de início e fim.

BibliografiaBibliografia

• - STALLINGS, William. Cryptography and Network Security – Principles and - STALLINGS, William. Cryptography and Network Security – Principles and Practice – Second Edition . Prentice-Hall, 1999.Practice – Second Edition . Prentice-Hall, 1999.

• - KUROSE, James F. and ROSS, Keith W. Computer Networking – A Top- Down - KUROSE, James F. and ROSS, Keith W. Computer Networking – A Top- Down Approach Featuring the Internet. - Third Edition . Addison-Wesley, 2000.Approach Featuring the Internet. - Third Edition . Addison-Wesley, 2000.

• - TANENBAUM, Andrew S. Computer Networks - Fourth Edition. Prentice- Hall, - TANENBAUM, Andrew S. Computer Networks - Fourth Edition. Prentice- Hall, 2002.2002.

• http://web.mit.edu/kerberos/

• http://www.conectiva.com/doc/livros/online/10.0/servidor/pt_BR/ch13s04.html

• http://www.hitmill.com/computers/kerberos.html

• http://www.linhadecodigo.com.br/

• http://www.zeroshell.net/