Was ist Kerberos?

Kerberos ist ein Netzwerk-Authentifizierungsprotokoll, das Kryptografie mit geheimen Schlüsseln und zeitgestempelte Tickets nutzt, um die Identität von Benutzern und Diensten zu überprüfen, ohne dass dabei jemals Passwörter über das Netzwerk übertragen werden. Eine vertrauenswürdige Schlüsselverteilungsstelle stellt verschlüsselte Tickets aus, sodass sich Clients und Server schnell und wiederholt gegenseitig authentifizieren können.

Die wichtigsten Erkenntnisse

• Kerberos authentifiziert Benutzer und Dienste, ohne dass Passwörter über das Netzwerk übertragen werden.
• Ein Schlüsselverteilungszentrum (KDC) stellt auf Anfrage verschlüsselte, mit einem Zeitstempel versehene Tickets aus.
• Ein Ticket-Granting-Ticket (TGT) ermöglicht es einem Client, bei Bedarf Service-Tickets anzufordern.
• Versa hält die Kerberos-Authentifizierung für sicherer als LDAP bei der Benutzeridentifizierung.
• VOS-Geräte verwenden Kerberos-Identitäten, um Benutzer in Firewall- und SD-WAN-Richtlinien abzugleichen.

Auf dieser Seite: Warum das wichtig ist · So funktioniert es · Arten · Kerberos & Versa · Häufig gestellte Fragen

Warum ist Kerberos wichtig?

Über ein Netzwerk übertragene Passwörter stellen – selbst wenn sie verschlüsselt sind – ein ständiges Risiko dar: Wird der Datenaustausch abgefangen, kann ein Angreifer ihn oft offline wiederholen oder knacken. Kerberos beseitigt dieses Risiko bereits durch seine Konzeption – das Passwort wird niemals übertragen. Stattdessen bürgt eine vertrauenswürdige dritte Partei mit kurzlebigen, kryptografisch signierten Tickets für die Identität, sodass eine kompromittierte Verbindung keine langfristigen Anmeldedaten offenlegen kann.

Dank dieses Designs ist Kerberos seit drei Jahrzehnten das Standard-Authentifizierungsprotokoll für Unternehmensnetzwerke. Microsoft Active Directory nutzt es nativ für die Domänenanmeldung, und jedes Gerät, das Active-Directory-Benutzer identifizieren muss – Dateiserver, Proxys, Firewalls –, unterstützt es in der Regel. Da Tickets mit einem Zeitstempel versehen und nur von kurzer Dauer sind, ist ein gestohlenes Ticket nur für einen begrenzten Zeitraum nutzbar, und da das KDC zentralisiert ist, müssen für die Sperrung oder Überprüfung des Zugriffs nicht alle Server bearbeitet werden, die dem KDC vertrauen.

Was ist Kerberos?

Kerberos arbeitet über einen vertrauenswürdigen Vermittler: das Key Distribution Center (KDC), das einen Authentifizierungsserver (AS) und einen Ticket-Granting-Service (TGS) vereint. Ein Client authentifiziert sich zunächst beim AS und erhält ein Ticket-Granting-Ticket (TGT) – eine mit einem Zeitstempel versehene Berechtigung, die mit dem geheimen Schlüssel des TGS verschlüsselt ist. Der Client muss kein Passwort mehr angeben; er legt das TGT dem TGS vor, um ein Service-Ticket für den spezifischen Dienst anzufordern, den er nutzen möchte.

Der Client sendet dieses Service-Ticket dann zusammen mit seiner Anfrage direkt an den Ziel-Service. Der Service entschlüsselt das Ticket mit einem Schlüssel, den er gemeinsam mit dem KDC nutzt (und der oft im Voraus als Keytab-Datei verteilt wird), und vertraut der darin enthaltenen Identität. Da jeder Schritt auf Kryptografie mit geheimen Schlüsseln und kurzen Gültigkeitszeiträumen basiert, werden Anmeldedaten niemals über das Netzwerk übertragen, und gestohlene Tickets verfallen schnell.

Arten von Kerberos

Kerberos Version 5 ist der aktuelle Standard, der in RFC 4120 definiert ist, und die Version, die im Wesentlichen alle modernen Implementierungen – einschließlich Active Directory und VOS von Versa– verwenden; die ältere Version 4 ist veraltet. Bei v5-Implementierungen kommen zwei Ticket-Typen zum Einsatz: das TGT, das einmal pro Sitzung bezogen wird und ausschließlich für die Kommunikation mit dem TGS verwendet wird, sowie Service-Tickets, die pro Zieldienst angefordert und diesem direkt vorgelegt werden.

Die Bereitstellungen unterscheiden sich zudem danach, wie sich der Client authentifiziert. Bei der Keytab-basierten Authentifizierung kann sich ein Gerät oder Dienst ohne interaktive Passwortabfrage mithilfe einer vorab geteilten Keytab-Datei authentifizieren – dem Muster, das VOS-Geräte verwenden, um sich gegenüber einem KDC zu identifizieren. Beim browserbasierten SSO, das automatisch über HTTP mittels SPNEGO/Negotiate ausgehandelt wird, erhält der Browser eines Domänenbenutzers transparent ein Dienstticket, sobald dieser an seiner Workstation angemeldet ist. Auf diese Weise funktioniert in der Regel der Kerberos-authentifizierte Web-/Proxy-Zugriff.

Kerberos & Versa

VOS-Geräte unterstützen Kerberos als sichere Alternative zu LDAP mit geschütztem Zugriff auf Anmeldedaten zur Identifizierung von Benutzern und Gruppen in CoS- (QoS), NGFW-, SD-WAN- und UTM-Richtlinienregeln. Die Einrichtung erfolgt in einer festgelegten Reihenfolge: Erstellen Sie eine Keytab-Datei auf dem Active Directory-Server, laden Sie diese auf den Director-Knoten und die Appliance hoch, definieren Sie ein Kerberos-Profil, das auf diese Keytab und einen SPN verweist, und bündeln Sie es in einem Authentifizierungsprofil und einer Regel. Ab Release 22.1.3 akzeptiert NGFW neben der Authentifizierung per Zertifikat, LDAP, lokalem Profil, RADIUS und SAML auch Kerberos für dieselbe Benutzer- und Gruppen-Richtlinien-Engine – siehe „Konfigurieren der Kerberos-Authentifizierung“ und das entsprechende NGFW-spezifische Dokument.

Da Kerberos entschlüsselten Datenverkehr benötigt, um eine Sitzung umzuleiten und ein Token zu erfassen, kombiniert VOS diesen mit einem Entschlüsselungsprofil im transparenten oder expliziten Vollproxy-Modus, einem an eine virtuelle Kerberos-URL gebundenen Captive-Portal sowie entsprechenden Browsereinstellungen (Internet Explorer, Chrome oder Firefox). Administratoren können dann authentifizierte Live-Sitzungen und Authentifizierungsereignisprotokolle direkt über Director und Analytics überwachen.

Häufig gestellte Fragen

Was ist ein Kerberos-Ticket-Granting-Ticket (TGT)?

Ein TGT ist eine mit einem Zeitstempel versehene Berechtigung, die das Schlüsselverteilungszentrum nach der ersten Authentifizierung eines Clients ausstellt. Es dient dem Ticket-Granting-Service als Identitätsnachweis, ohne dass das Passwort erneut eingegeben werden muss, und der Client nutzt es, um Service-Tickets für die nächsten Schritte anzufordern, die er ausführen muss.

Inwiefern unterscheidet sich Kerberos von der LDAP-Authentifizierung?

Bei der LDAP-Authentifizierung werden die Anmeldedaten in der Regel bei jeder Verbindung eines Benutzers direkt anhand eines Verzeichnisses überprüft, während bei Kerberos das Passwort überhaupt nicht übertragen wird – stattdessen werden verschlüsselte, mit einem Zeitstempel versehene Tickets ausgetauscht. In der Dokumentation unter Versa wird Kerberos genau aus diesem Grund als die sicherere der beiden Authentifizierungsmethoden beschrieben.

Was ist eine Kerberos-Keytab-Datei?

Eine Keytab-Datei speichert Paare aus Kerberos-Principals und deren verschlüsselten Schlüsseln, die aus dem Passwort eines Dienstkontos abgeleitet werden. Sie ermöglicht es einem Gerät, beispielsweise einer VOS-Appliance, sich bei einem KDC ohne interaktive Passwortabfrage zu authentifizieren, und muss neu generiert werden, wenn sich dieses Passwort ändert.

Warum benötigt Kerberos ein Schlüsselverteilungszentrum (KDC)?

Das KDC ist die vertrauenswürdige dritte Partei, auf die sich jeder Client und jeder Dienst stützt. Es vereint einen Authentifizierungsserver, der das anfängliche TGT ausstellt, und einen Ticket-Granting-Service, der dienstbezogene Tickets ausstellt – wodurch das Vertrauen zentralisiert wird, sodass keine zwei Parteien Geheimnisse direkt miteinander teilen müssen.

Wie nutzt „ Versa “ Kerberos für die Firewall-Richtlinien?

VOS-Geräte verwenden Kerberos-authentifizierte Identitäten, um bestimmte Benutzer oder Gruppen in den Richtlinienregeln von CoS, NGFW, SD-WAN und UTM abzugleichen. Da das Gerät keine vollständige Benutzerdatenbank in den Arbeitsspeicher lädt, definiert es externe Benutzer aus Kerberos, LDAP, SAML oder TACACS+ für den Richtlinienabgleich.

Mehr zu Kerberos

Wenn Sie mehr erfahren möchten, finden Sie hier Quellen, denen wir vertrauen.

Verwandte Begriffe

Wenn Sie sich gerade mit Kerberos beschäftigen, sollten Sie sich als Nächstes diese Artikel ansehen.