¿Qué es Kerberos?

Kerberos es un protocolo de autenticación de red que utiliza criptografía de clave secreta y tickets con marca de tiempo para verificar la identidad de los usuarios y los servicios sin enviar nunca contraseñas a través de la red. Un centro de distribución de claves de confianza emite tickets cifrados para que los clientes y los servidores puedan autenticarse mutuamente de forma rápida y repetida.

Puntos clave

• Kerberos autentica a los usuarios y los servicios sin enviar contraseñas por la red.
• Un centro de distribución de claves (KDC) emite, previa solicitud, tickets cifrados y con marca de tiempo.
• Un «ticket-granting ticket» (TGT) permite a un cliente solicitar tickets de servicio cuando lo necesite.
• Versa considera que la autenticación Kerberos es más segura que la LDAP para la identificación de usuarios.
• Los dispositivos VOS utilizan identidades Kerberos para identificar a los usuarios en las políticas del cortafuegos y de SD-WAN.

En esta página: Por qué es importante · Cómo funciona · Tipos · Kerberos y Versa · Preguntas frecuentes

¿Por qué es importante Kerberos?

Las contraseñas que se transmiten a través de una red, incluso las cifradas, suponen un riesgo constante: si se intercepta el intercambio, un atacante suele poder reproducirlo o descifrarlo sin conexión. Kerberos elimina ese riesgo por su propio diseño: la contraseña nunca se transmite. En su lugar, un tercero de confianza avala la identidad mediante tickets de corta duración y firmados criptográficamente, de modo que un enlace comprometido no puede exponer las credenciales a largo plazo.

Ese diseño ha convertido a Kerberos en el protocolo de autenticación predeterminado para las redes empresariales durante tres décadas. Microsoft Active Directory lo utiliza de forma nativa para los inicios de sesión en el dominio, y cualquier dispositivo que necesite identificar a los usuarios de Active Directory —servidores de archivos, proxies, cortafuegos— suele ser compatible con él. Dado que los tickets llevan marca de tiempo y tienen una vida útil corta, un ticket robado solo es útil durante un breve periodo de tiempo; además, como el KDC está centralizado, revocar o auditar el acceso no requiere intervenir en todos los servidores que confían en él.

¿Qué es Kerberos?

Kerberos funciona a través de un intermediario de confianza: el centro de distribución de claves (KDC), que combina un servidor de autenticación (AS) y un servicio de concesión de tickets (TGS). En primer lugar, un cliente se autentica ante el AS y recibe un ticket de concesión de tickets (TGT), una credencial con marca de tiempo cifrada con la clave secreta del TGS. El cliente no necesita volver a introducir una contraseña; presenta el TGT al TGS para solicitar un ticket de servicio para el servicio específico al que desea acceder.

A continuación, el cliente envía ese ticket de servicio, junto con su solicitud, directamente al servicio de destino. El servicio descifra el ticket con una clave que comparte con el KDC (que suele distribuirse con antelación en forma de archivo keytab) y confía en la identidad que contiene. Dado que cada paso se basa en criptografía de clave secreta y en plazos de validez cortos, las credenciales nunca quedan expuestas en la red y los tickets robados caducan rápidamente.

Tipos de Kerberos

La versión 5 de Kerberos es el estándar actual, definido en el RFC 4120, y la versión que utilizan prácticamente todas las implementaciones modernas —incluidos Active Directory y el VOS de Versa—; la versión anterior, la 4, ha quedado obsoleta. En las implementaciones de la versión 5, hay dos tipos de tickets que desempeñan esta función: el TGT, que se obtiene una vez por sesión y se utiliza únicamente para comunicarse con el TGS, y los tickets de servicio, que se solicitan para cada servicio de destino y se presentan directamente a este.

Las implementaciones también varían en función de cómo se autentica el cliente. La autenticación basada en keytab permite que un dispositivo o servicio se autentique sin que se le solicite una contraseña de forma interactiva, utilizando un archivo keytab precompartido —el patrón que utilizan los dispositivos VOS para identificarse ante un KDC—. El SSO basado en navegador, negociado automáticamente a través de HTTP mediante SPNEGO/Negotiate, permite que el navegador de un usuario del dominio obtenga un ticket de servicio de forma transparente una vez que haya iniciado sesión en su estación de trabajo, que es como suele funcionar el acceso web o a proxy autenticado mediante Kerberos.

Kerberos y Versa

Los dispositivos VOS admiten Kerberos como una alternativa segura y robusta a LDAP para identificar a usuarios y grupos en las reglas de políticas de CoS (QoS), NGFW, SD-WAN y UTM. La configuración sigue una secuencia definida: generar un archivo keytab en el servidor de Active Directory, subirlo al nodo Director y al dispositivo, definir un perfil de Kerberos que haga referencia a ese keytab y a un SPN, e integrarlo en un perfil de autenticación y una regla. A partir de la versión 22.1.3, NGFW admite Kerberos junto con la autenticación mediante certificado, LDAP, perfil local, RADIUS y SAML para el mismo motor de políticas de usuarios y grupos; consulte «Configurar la autenticación Kerberos» y su equivalente específico para NGFW.

Dado que Kerberos necesita tráfico descifrado para redirigir una sesión y recopilar un token, VOS lo combina con un perfil de descifrado en modo de proxy completo transparente o explícito, un portal cautivo vinculado a una URL virtual de Kerberos y la configuración correspondiente del navegador (Internet Explorer, Chrome o Firefox). De este modo, los administradores pueden supervisar las sesiones autenticadas en tiempo real y los registros de eventos de autenticación directamente desde Director y Analytics.

Preguntas frecuentes

¿Qué es un ticket de concesión de tickets (TGT) de Kerberos?

Un TGT es una credencial con marca de tiempo que emite el centro de distribución de claves tras la primera autenticación de un cliente. Sirve para acreditar la identidad ante el servicio de concesión de tickets sin necesidad de volver a introducir la contraseña, y el cliente la utiliza para solicitar los tickets de servicio que necesite para acceder a los siguientes recursos.

¿En qué se diferencia Kerberos de la autenticación LDAP?

La autenticación LDAP suele validar las credenciales directamente en un directorio cada vez que un usuario se conecta, mientras que Kerberos nunca transmite la contraseña, sino que intercambia «tickets» cifrados y con marca de tiempo. La documentación de Versa describe Kerberos como el método de autenticación más seguro de los dos precisamente por este motivo.

¿Qué es un archivo keytab de Kerberos?

Un archivo keytab almacena pares de entidades de Kerberos y sus claves cifradas, derivadas de la contraseña de una cuenta de servicio. Permite que un dispositivo, como un equipo VOS, se autentique en un KDC sin que se le solicite una contraseña de forma interactiva, y debe regenerarse si dicha contraseña cambia.

¿Por qué necesita Kerberos un centro de distribución de claves (KDC)?

El KDC es la tercera parte de confianza en la que se basan todos los clientes y servicios. Combina un servidor de autenticación, que emite el TGT inicial, y un servicio de concesión de tickets, que emite tickets específicos para cada servicio, centralizando así la confianza para que ninguna de las partes tenga que compartir secretos directamente con la otra.

¿Cómo utiliza « Versa » Kerberos para la política del cortafuegos?

Los dispositivos VOS utilizan identidades autenticadas mediante Kerberos para hacer coincidir usuarios o grupos específicos con las reglas de políticas de CoS, NGFW, SD-WAN y UTM. Dado que el dispositivo no carga una base de datos completa de usuarios en la memoria, define a los usuarios externos a partir de Kerberos, LDAP, SAML o TACACS+ para la coincidencia de políticas.

Más información sobre Kerberos

Si quieres saber más, estas son algunas fuentes en las que confiamos.

Términos relacionados

Si estás leyendo sobre Kerberos, te recomiendo que eches un vistazo a lo siguiente.