セッション チケット

暗号化されたセッション キーを両方のプリンシパルに送信する代わりに、KDC はクライアントとサーバーの セッション キーのコピーの両方をクライアントに送信。 クライアントのセッション キーのコピーは、クライアントの マスター キー で暗号化されるため、他のエンティティで暗号化を解除することはできません。 セッション キーのサーバーのコピーは、クライアントに関する承認データと共に、チケットと呼ばれるデータ構造に埋め込まれます。 チケットはサーバーのマスター キーで完全に暗号化されているため、クライアントまたはサーバーのマスター キーにアクセスできないその他のエンティティでは読み取りまたは変更できません。 クライアントは、サーバーに接続するまでチケットを安全に保管する必要があります。

手記

KDC はチケット付与サービスのみを提供します。 クライアントとサーバーは、それぞれのマスター キーのセキュリティ保護を担当します。

 

クライアントは KDC の応答を受信すると、チケットとセッション キーの独自のコピーを抽出し、両方をセキュリティで保護されたキャッシュに配置します。 サーバーとのセキュリティで保護されたセッションを確立するために、サーバーにはチケットで構成されるメッセージが送信され、サーバーのマスター キーで暗号化され、認証メッセージ セッション キーで暗号化されます。 チケットと認証メッセージは、サーバーにされるクライアントの資格情報です。

サーバーは、クライアントから資格情報を受信すると、マスター キーを使用してチケットの暗号化を解除し、セッション キーを抽出し、セッション キーを使用してクライアントの認証メッセージを復号化します。 すべてがチェックアウトされた場合、サーバーはクライアントの資格情報が信頼された機関である KDC によって発行されたことを認識します。 相互認証の場合、サーバーはセッション キーを使用してクライアントの認証メッセージのタイムスタンプを暗号化して応答します。 この暗号化されたメッセージは、クライアントに送信されます。 その後、クライアントはメッセージの暗号化を解除します。 返されたメッセージが元の認証子メッセージのタイムスタンプと同じ場合、サーバーは認証されます。

追加の利点として、サーバーはクライアントと共に使用するセッション キーを格納する必要はありません。 各クライアントは、チケット キャッシュ内のサーバーのチケットを管理し、サーバーにアクセスするたびにそのチケットを提示する必要があります。 サーバーは、クライアントからチケットを受信するたびに、そのマスター キーを使用してチケットの暗号化を解除し、セッション キーを抽出します。 サーバーでセッション キーが不要になると、キーが削除されます。

クライアントは、この特定のサーバーにアクセスするたびに KDC にアクセスする必要はありません。 チケットは再利用できます。 チケットの盗難の可能性に対する予防措置として、チケットにはチケット構造の KDC によって指定された有効期限があります。 チケットの有効期間は、領域の Kerberos ポリシーによって異なります。 通常、チケットは、通常の ログオン セッションの長さについて、8 時間以内に適しています。 クライアント ワークステーションのユーザーがログオフすると、クライアント チケット キャッシュがフラッシュされ、すべてのチケットとクライアント セッション キーが破棄されます。