Qu'est-ce que Kerberos ?

Kerberos est un protocole d'authentification réseau qui utilise la cryptographie à clé secrète et des tickets horodatés pour vérifier l'identité des utilisateurs et des services sans jamais transmettre de mots de passe sur le réseau. Un centre de distribution de clés de confiance émet des tickets chiffrés afin que les clients et les serveurs puissent s'authentifier mutuellement de manière rapide et répétée.

Points clés à retenir

• Kerberos authentifie les utilisateurs et les services sans transmettre de mots de passe par le réseau.
• Un centre de distribution de clés (KDC) émet, sur demande, des tickets cryptés et horodatés.
• Un « ticket-granting ticket » (TGT) permet à un client de demander des tickets de service à la demande.
• Versa estime que l'authentification Kerberos est plus sûre que le protocole LDAP pour l'identification des utilisateurs.
• Les appareils VOS utilisent les identités Kerberos pour faire correspondre les utilisateurs aux règles du pare-feu et du SD-WAN.

Sur cette page : Pourquoi est-ce important ? · Comment ça marche · Types · Kerberos et Versa · FAQ

Pourquoi Kerberos est-il important ?

Les mots de passe transmis sur un réseau, même s'ils sont chiffrés, constituent un risque permanent : s'il parvient à intercepter l'échange, un attaquant peut souvent le reproduire ou le déchiffrer hors ligne. Kerberos élimine ce risque de par sa conception même : le mot de passe n'est jamais transmis. À la place, un tiers de confiance garantit l'identité à l'aide de tickets à durée de vie limitée et signés cryptographiquement, de sorte qu'une connexion compromise ne peut pas exposer les identifiants à long terme.

Grâce à cette conception, Kerberos est devenu, depuis trois décennies, le protocole d’authentification par défaut des réseaux d’entreprise. Microsoft Active Directory l’utilise nativement pour les connexions au domaine, et tout périphérique devant identifier les utilisateurs Active Directory – serveurs de fichiers, proxys, pare-feu – le prend généralement en charge. Les tickets étant horodatés et à durée de vie limitée, un ticket volé ne reste utile que pendant un laps de temps très court ; de plus, le KDC étant centralisé, la révocation ou l’audit des accès ne nécessite pas d’intervenir sur chaque serveur qui lui fait confiance.

Qu'est-ce que Kerberos ?

Kerberos fonctionne par l'intermédiaire d'un intermédiaire de confiance : le centre de distribution de clés (KDC), qui combine un serveur d'authentification (AS) et un service d'octroi de tickets (TGS). Un client s'authentifie d'abord auprès de l'AS et reçoit un ticket d'octroi de tickets (TGT) – un identifiant horodaté et chiffré à l'aide de la clé secrète du TGS. Le client n'a pas besoin de saisir à nouveau son mot de passe ; il présente le TGT au TGS pour demander un ticket de service correspondant au service spécifique auquel il souhaite accéder.

Le client envoie ensuite ce ticket de service, accompagné de sa requête, directement au service cible. Ce dernier déchiffre le ticket à l’aide d’une clé qu’il partage avec le KDC (souvent distribuée à l’avance sous la forme d’un fichier keytab) et valide l’identité qui y est contenue. Comme chaque étape repose sur la cryptographie à clé secrète et des durées de validité courtes, les identifiants ne sont jamais exposés sur le réseau et les tickets volés expirent rapidement.

Types de Kerberos

La version 5 de Kerberos est la norme actuelle, définie dans la RFC 4120, et c'est la version utilisée par pratiquement toutes les implémentations modernes – y compris Active Directory et le VOS d'Versa; l'ancienne version 4 est obsolète. Dans les déploiements de la version 5, deux types de tickets assurent le fonctionnement du système : le TGT, obtenu une fois par session et utilisé uniquement pour communiquer avec le TGS, et les tickets de service, demandés pour chaque service cible et présentés directement à celui-ci.

Les déploiements diffèrent également selon le mode d’authentification du client. L’authentification basée sur un keytab permet à un périphérique ou à un service de s’authentifier sans invite de mot de passe interactive, à l’aide d’un fichier keytab pré-partagé – le modèle utilisé par les périphériques VOS pour s’identifier auprès d’un KDC. L'authentification unique (SSO) via navigateur, négociée automatiquement sur HTTP via SPNEGO/Negotiate, permet au navigateur d'un utilisateur du domaine d'obtenir un ticket de service de manière transparente une fois qu'il est connecté à son poste de travail ; c'est ainsi que fonctionne généralement l'accès Web/proxy authentifié par Kerberos.

Kerberos & Versa

Les appareils VOS prennent en charge Kerberos, une alternative robuste et sécurisée à LDAP pour l'identification des utilisateurs et des groupes dans les règles de politique CoS (QoS), NGFW, SD-WAN et UTM. La configuration suit une séquence définie : générer un fichier keytab sur le serveur Active Directory, le télécharger sur le nœud Director et l’appareil, définir un profil Kerberos faisant référence à ce keytab et à un SPN, puis l’intégrer dans un profil d’authentification et une règle. À partir de la version 22.1.3, le NGFW accepte Kerberos en plus des authentifications par certificat, LDAP, profil local, RADIUS et SAML pour le même moteur de politiques utilisateur et groupe – voir « Configurer l’authentification Kerberos » et son équivalent spécifique au NGFW.

Comme Kerberos a besoin d'un trafic déchiffré pour rediriger une session et récupérer un jeton, VOS l'associe à un profil de déchiffrement en mode proxy complet transparent ou explicite, à un portail captif lié à une URL virtuelle Kerberos, ainsi qu'à des paramètres de navigateur adaptés (Internet Explorer, Chrome ou Firefox). Les administrateurs peuvent alors surveiller en temps réel les sessions authentifiées et les journaux d'événements d'authentification directement depuis Director et Analytics.

Questions fréquentes

Qu'est-ce qu'un ticket d'octroi de tickets (TGT) Kerberos ?

Un TGT est un identifiant horodaté émis par le centre de distribution de clés après la première authentification d'un client. Il permet de prouver son identité auprès du service d'octroi de tickets sans avoir à saisir à nouveau le mot de passe, et le client l'utilise pour demander des tickets de service afin d'accéder à la ressource suivante dont il a besoin.

En quoi l'authentification Kerberos diffère-t-elle de l'authentification LDAP ?

L'authentification LDAP vérifie généralement les identifiants directement dans un annuaire à chaque connexion d'un utilisateur, tandis que Kerberos ne transmet jamais le mot de passe : il échange à la place des tickets chiffrés et horodatés. La documentation de Versa décrit Kerberos comme la méthode d'authentification la plus sûre des deux, précisément pour cette raison.

Qu'est-ce qu'un fichier keytab Kerberos ?

Un fichier keytab stocke des paires composées d'entités Kerberos et de leurs clés chiffrées, dérivées du mot de passe d'un compte de service. Il permet à un périphérique, tel qu'une appliance VOS, de s'authentifier auprès d'un KDC sans avoir à saisir de mot de passe de manière interactive, et doit être régénéré en cas de modification de ce mot de passe.

Pourquoi Kerberos a-t-il besoin d'un centre de distribution de clés (KDC) ?

Le KDC est la tierce partie de confiance sur laquelle s'appuient tous les clients et tous les services. Il combine un serveur d'authentification, qui délivre le TGT initial, et un service d'octroi de tickets, qui délivre des tickets spécifiques à chaque service, centralisant ainsi la confiance afin qu'aucune partie n'ait à partager directement de secrets avec une autre.

Comment « Versa » utilise-t-il Kerberos pour la politique de pare-feu ?

Les appareils VOS utilisent des identités authentifiées via Kerberos pour faire correspondre des utilisateurs ou des groupes spécifiques aux règles de politique des solutions CoS, NGFW, SD-WAN et UTM. Comme l'appareil ne charge pas l'intégralité de la base de données des utilisateurs en mémoire, il définit des utilisateurs externes issus de Kerberos, LDAP, SAML ou TACACS+ à des fins de mise en correspondance des politiques.

En savoir plus sur Kerberos

Si vous souhaitez en savoir plus, voici des sources auxquelles nous faisons confiance.

Termes associés

Si vous vous intéressez à Kerberos, voici quelques liens qui pourraient vous intéresser.