Sitzungstickets

Anstatt die verschlüsselten Sitzungsschlüssel an beide Prinzipale zu senden, sendet die KDC- sowohl die Kopien des Clients als auch die Kopien des Sitzung sschlüssels an den Client. Die Kopie des Sitzungsschlüssels des Clients wird mit dem Masterschlüssel des Clients verschlüsselt und kann daher nicht von einer anderen Entität entschlüsselt werden. Die Kopie des Sitzungsschlüssels des Servers wird zusammen mit Autorisierungsdaten über den Client in eine Datenstruktur eingebettet, die als Ticket bezeichnet wird. Das Ticket ist vollständig mit dem Hauptschlüssel des Servers verschlüsselt und kann daher nicht vom Client oder einer anderen Entität gelesen oder geändert werden, die keinen Zugriff auf den Hauptschlüssel des Servers hat. Es liegt in der Verantwortung des Kunden, das Ticket sicher zu speichern, bis der Kontakt mit dem Server besteht.

Wenn der Client die Antwort des KDC empfängt, extrahiert er das Ticket und seine eigene Kopie des Sitzungsschlüssels, wobei beide in einem sicheren Cache abgelegt werden. Um eine sichere Sitzung mit dem Server einzurichten, sendet sie dem Server eine Nachricht, die aus dem Ticket besteht, noch mit dem Hauptschlüssel des Servers verschlüsselt ist, und eine Authentifikatornachricht mit dem Sitzungsschlüssel verschlüsselt. Zusammen sind die Ticket- und Authentifikatornachricht die Anmeldeinformationen des Clients, die auf dem Server.

Wenn der Server Anmeldeinformationen von einem Client empfängt, entschlüsselt er das Ticket mit seinem Masterschlüssel, extrahiert den Sitzungsschlüsselund verwendet den Sitzungsschlüssel, um die Authentifizierungsnachricht des Clients zu entschlüsseln. Wenn alles auscheckt, weiß der Server, dass die Anmeldeinformationen des Clients vom KDC ausgestellt wurden, eine vertrauenswürdige Autorität. Bei der gegenseitigen Authentifizierung antwortet der Server, indem der Zeitstempel aus der Authentifizierungsnachricht des Clients mithilfe des Sitzungsschlüssels verschlüsselt wird. Diese verschlüsselte Nachricht wird an den Client gesendet. Der Client entschlüsselt dann die Nachricht. Wenn die zurückgegebene Nachricht mit dem Zeitstempel in der ursprünglichen Authentifikatornachricht übereinstimmt, wird der Server authentifiziert.

Als zusätzlichen Vorteil muss der Server die sitzungsschlüssel, die er mit seinen Clients verwendet, nicht speichern. Es liegt in der Verantwortung jedes Clients, das Ticket für den Server im Ticketcache zu verwalten und dieses Ticket jedes Mal zu präsentieren, wenn er auf den Server zugreift. Wenn der Server ein Ticket von einem Client empfängt, verwendet er seinen Hauptschlüssel, um das Ticket zu entschlüsseln und den Sitzungsschlüssel zu extrahieren. Wenn der Server den Sitzungsschlüssel nicht mehr benötigt, wird der Schlüssel gelöscht.

Der Client muss nicht jedes Mal auf den KDC zugreifen, wenn er Zugriff auf diesen bestimmten Server möchte. Tickets können wiederverwendet werden. Als Vorsichtsmaßnahme gegen die Möglichkeit des Ticketdiebstahls haben Tickets eine Ablaufzeit, die vom KDC in der Ticketstruktur angegeben wird. Wie lange ein Ticket gültig ist, hängt von der Kerberos-Richtlinie für den Bereich ab. In der Regel sind Tickets für nicht länger als acht Stunden geeignet, etwa die Länge einer normalen Anmeldesitzung. Wenn sich der Benutzer auf einer Clientarbeitsstation abmeldet, wird der Clientticketcache geleert, und alle Tickets und Clientsitzungsschlüssel werden zerstört.