セッション チケット

暗号化されたセッション キーを両方のプリンシパルに送信する代わりに、 KDC はクライアントとサーバーの セッション キー のコピーの両方をクライアントに送信します。 クライアントのセッション キーのコピーはクライアントの マスター キー で暗号化されているため、他のエンティティでは暗号化を解除できません。 サーバーのセッション キーのコピーは、クライアントに関する承認データと共に、チケットと呼ばれるデータ構造に埋め込まれます。 チケットはサーバーのマスター キーで完全に暗号化されているため、クライアントまたはサーバーのマスター キーにアクセスできない他のエンティティでは読み取りまたは変更できません。 サーバーに接続するまでチケットを安全に保管するのはクライアントの責任です。

Note

KDC では、チケット付与サービスのみが提供されます。 クライアントとサーバーは、それぞれのマスター キーをセキュリティで保護する役割を担います。

 

クライアントは KDC の応答を受け取ると、チケットとセッション キーの独自のコピーを抽出し、両方をセキュリティで保護されたキャッシュに置きます。 サーバーとのセキュリティで保護されたセッションを確立するために、サーバーにはチケットで構成されるメッセージが送信され、サーバーのマスター キーで暗号化され、セッション キーで暗号化された 認証メッセージ が送信されます。 チケットと認証メッセージは、サーバーに対するクライアントの 資格情報 です。

サーバーは、クライアントから資格情報を受信すると、 マスター キーを使用してチケットの暗号化を解除し、 セッション キーを抽出し、セッション キーを使用してクライアントの認証メッセージの暗号化を解除します。 すべてがチェックアウトされた場合、サーバーはクライアントの資格情報が信頼された機関である KDC によって発行されたことを認識します。 相互認証の場合、サーバーはセッション キーを使用してクライアントの認証メッセージからタイム スタンプを暗号化して応答します。 この暗号化されたメッセージは、クライアントに送信されます。 その後、クライアントはメッセージの暗号化を解除します。 返されたメッセージが元の認証子メッセージのタイム スタンプと同じ場合、サーバーは認証されます。

追加の利点として、サーバーはクライアントと共に使用するセッション キーを格納する必要はありません。 各クライアントは、チケット キャッシュ内のサーバーのチケットを管理し、サーバーにアクセスするたびにそのチケットを提示する必要があります。 サーバーは、クライアントからチケットを受信するたびに、そのマスター キーを使用してチケットの暗号化を解除し、セッション キーを抽出します。 サーバーでセッション キーが不要になると、キーが削除されます。

クライアントは、この特定のサーバーにアクセスするたびに KDC にアクセスする必要はありません。 チケットは再利用できます。 チケットの盗難の可能性に対する予防措置として、チケットはチケット構造の KDC によって指定された有効期限を持ちます。 チケットの有効期間は、領域の Kerberos ポリシーによって異なります。 通常、チケットは、通常の ログオン セッションの長さについて、8 時間以内に適しています。 クライアント ワークステーションのユーザーがログオフすると、クライアント チケット キャッシュがフラッシュされ、すべてのチケットとクライアント セッション キーが破棄されます。