O que é a autenticação Kerberos e como ela funciona?

O que é Kerberos?

Kerberos é um protocolo projetado para autenticar solicitações de serviço entre hosts confiáveis que operam em uma rede não confiável. Ele oferece um método seguro de verificar as identidades de usuários e serviços em um ambiente de rede. O suporte ao Kerberos é integrado aos principais sistemas operacionais de computadores, incluindo Microsoft Windows, Apple macOS, FreeBSD e Linux, garantindo ampla adoção e compatibilidade.

O que o protocolo de autenticação Kerberos faz?

Se você precisa de uma maneira mais segura de armazenar seus dados de usuário e proteger seu sistema, o Kerberos pode ser apenas uma solução para você. O Kerberos funciona como uma porta automática entre os usuários e a internet. Devido ao seu design, ele ajuda a garantir que os usuários certos entrem, mas evita que os invasores passem por ele.

Como ele foi projetado como um sistema de autenticação e autorização, é isso que o Kerberos faz melhor. Ele garante que os usuários na rede são quem eles dizem ser. Ele também ajuda com a autorização que concede acesso a um serviço. Veremos como o Kerberos funciona na próxima parte.

Como funciona o protocolo de autenticação Kerberos?

Em sua essência, o Kerberos usa criptografia forte para proteger o processo de autenticação do cliente e a comunicação subsequente, bem como usa autorização de terceiros para confirmar identidades de usuários.

O centro de distribuição de chaves (KDC), que inclui o servidor de autenticação (AS) e o servidor de concessão de tíquete (TGS), é o servidor de autenticação central no sistema Kerberos. O AS verifica a identidade do cliente verificando o nome de usuário do cliente em seu banco de dados Kerberos, e o TGS concede um tíquete que prova a identidade do cliente e é usado para solicitar tíquetes de serviço do TGS.

Veja como funciona:

1. O cliente no endereço de rede do cliente inicia o processo de autenticação enviando uma solicitação de autenticação para o KDC.
2. O AS verifica o nome de usuário do cliente em seu banco de dados e envia um Ticket de Concessão de Ticket (TGT) e uma chave de sessão criptografada com a chave privada do cliente.
3. O cliente solicita um ticket de serviço da TGS, incluindo a TGT recebida da AS.
4. O TGS verifica a identidade do cliente usando o TGT e gera um ticket de serviço criptografado com uma chave de sessão de serviço específica para o usuário e serviço solicitado.
5. O cliente apresenta o tíquete de serviço ao servidor de aplicativos, solicitando acesso ao serviço desejado.
6. O servidor de aplicativos valida o tíquete de serviço, confirma a identidade do cliente e concede acesso ao serviço solicitado.

Onde o Kerberos é usado?

O Kerberos é amplamente usado para autenticar usuários que buscam acesso a recursos de rede, muitas vezes em grandes redes de empresas como AWS, Google Cloud e Microsoft Azure para facilitar o SSO. O Kerberos é suportado pelo Windows, macOS, Linux, FreeBSD, Active Directory da Microsoft e vários navegadores e sistemas de banco de dados.

Vantagens da autenticação Kerberos

Apesar de ter sido criado há 40+ anos, o Kerberos ainda tem muitas vantagens que os administradores de rede podem se beneficiar:

• Forte segurança. A criptografia que o Kerberos usa fornece mecanismos de autenticação fortes e garante que apenas usuários confiáveis possam acessar a rede.
• Autenticação mútua. A autenticação mútua significa que o cliente e o servidor se autenticam. A verificação bidirecional ajuda a estabelecer confiança entre ambas as partes e reduz o risco de ataques man-in-the-middle.
• Controle de acesso. Ele fornece uma maneira fácil de controlar quem pode e quem não pode entrar na rede e registrar suas ações dentro dela.
• Tíquetes sensíveis ao tempo. Os tickets emitidos pelo KDC têm um carimbo de data/hora criptografado, permitindo permissões de acesso refinadas e minimizando a exposição de credenciais confidenciais.
• SSO. Os usuários não precisam reinserir suas credenciais depois de autenticar uma vez. Como resultado, eles podem trabalhar de forma eficiente e acessar perfeitamente vários recursos em toda a rede.

Desvantagens da autenticação Kerberos

Apesar de suas inúmeras vantagens, Kerberos também tem algumas falhas:

• Complexidade. O processo de configuração do Kerberos requer conhecimento técnico avançado e requer um tempo significativo para ser concluído. Ao mesmo tempo, pequenos detalhes ausentes no processo podem criar vulnerabilidades adicionais do sistema.
• Autenticação centralizada. O Kerberos funciona por meio de um servidor centralizado. Como tal, a centralização pode levar a um único ponto de falha e a um potencial gargalo de desempenho.
• Autenticação baseada em token. Devido aos rígidos requisitos de limite de tempo baseados no sistema de tickets do Kerberos, a configuração inadequada pode levar a desconexões e interrupções frequentes.

Kerberos versus outros protocolos de autenticação de rede

O Kerberos é provavelmente o protocolo de autenticação mais popular, mas não é o único. Vejamos as principais diferenças entre o Kerberos e outros protocolos de autenticação de rede.

Kerberos vs. Microsoft New Technology LAN Manager (NTLM)

O NTLM da Microsoft é considerado menos seguro e oferece menos recursos do que o Kerberos. No entanto, ainda há suporte para manter serviços SSO em domínios do Active Directory. Enquanto o Kerberos depende de um sistema de tickets, o NTLM usa uma abordagem de desafio-resposta para autenticação, um protocolo em que uma entidade faz uma pergunta e a outra fornece uma resposta para validar sua i