Definition Was ist Kerberos?

Anbieter zum Thema

Vitel GmbH

Kerberos ist ein Authentifizierungsdienst und -protokoll für TCP/IP-Netzwerke wie das Internet. Der Dienst arbeitet mit Tickets, die von einer vertrauenswürdigen Stelle, dem Key Distribution Center (KDC), ausgestellt werden. Kerberos ermöglicht Single Sign-on (SSO) und wird von zahlreichen Betriebssystemen unterstützt. In Windows-Netzwerken hat sich Kerberos als Standardauthentifizierungsmethode etabliert.

Kerberos ist der Name eines Authentifizierungsdiensts und -protokolls, dessen Anfänge bis in die 1980er Jahre zurückreichen. Es wurde am Massachusetts Institute of Technology (MIT) im Rahmen eines Projekts mit der Bezeichnung Athena entwickelt. Der Name Kerberos wurde in Anlehnung an den dreiköpfigen Höllenhund "Zerberus" aus der griechischen Mythologie gewählt. Er soll ein Hinweis auf die drei an der Authentifizierung beteiligten Entitäten Client, Key Distribution Center (KDC) und Server sein.

Spezifiziert ist der Authentifizierungsdienst im RFC 4120 mit dem Titel "The Kerberos Network Authentication Service (V5)" aus dem Jahr 2005. Dieser RFC ersetzt den vorherigen RFC 1510 aus dem Jahr 1993. Im TCP/IP-Protokollstapel ist Kerberos auf der Anwendungsebene oberhalb der Transportebene (UDP und TCP) angesiedelt. Der Authentifizierungsdienst ist für den Einsatz in TCP-IP-Netzwerken vorgesehen. Er ermöglicht eine sichere Authentifizierung auch in unsicheren und offenen Netzwerken wie dem Internet.

Für Microsoft- und Windows-basierte Netzwerke ist Kerberos seit der Windows-Server-Version 2000/2003 und der Windows-Client-Version Windows 2000/XP die Standardauthentifizierungsmethode. Kerberos-Schlüssel werden im Active Directory gespeichert. Viele weitere Betriebssysteme wie Unix, Linux, FreeBSD oder macOS unterstützen den Authentifizierungsdienst ebenfalls. Es sind sowohl kommerzielle als auch freie Implementierungen von Kerberos als Client- und Serverversionen verfügbar.

Kerberos ist Single-Sign-on-fähig und mittlerweile einer der beliebtesten und am häufigsten verwendeten Authentifizierungsdienste im Internet und in privaten IP-Netzen. Weiterentwickelt und gepflegt wird Kerberos inzwischen in Form eines Open-Source-Projekts vom 2007 gegründeten MIT Kerberos Konsortium.

Funktionsweise des Authentifizierungsdiensts und beteiligte Systeme

Bei Kerberos sind an der Authentifizierung die drei Entitäten Client, Key Distribution Center (KDC) und Server beteiligt. Der Client führt die Anweisungen eines Anwenders aus und möchte einen bestimmten Dienst nutzen. Der Dienst, auf den der Client zugreifen möchte, befindet sich auf dem Server. Das Key Distribution Center agiert als vertrauenswürdige dritte Instanz (Trusted Third Party) und besteht aus dem Authentifizierungsserver (AS) und dem Ticket Granting Server (TGS). Während der AS die Authentifizierungsprozesse ausführt und Ticket Granting Tickets (TGT) ausstellt, ist der TGS für die Vergabe von Service-Tickets an den Client verantwortlich.

AS und TGS können auf verschiedenen Systemen oder auf dem gleichen Server installiert sein. Bei der Kerberos-Authentifizierung spielen Tickets eine zentrale Rolle. Ein Ticket ist ein digitales Zertifikat, mit dem sich Identitäten gegenseitig sicher bestätigen lassen. Tickets authentifizieren sowohl die beteiligten Parteien als auch die Nutzung eines Services durch einen Client. Kerberos-Tickets sind mit Zeitstempel versehen und haben eine begrenzte Gültigkeit. Zudem sind sie sitzungsspezifisch. Grundvoraussetzung für die Authentifizierung mit Kerberos ist, dass der Client und der Server, auf dem sich der vom Client angesprochene Dienst befindet, Kerberos unterstützen und in der Lage sind, mit den vom KDC ausgestellten Tickets umzugehen. Entsprechende Softwarekomponenten sind notwendig.

Beispielhafter Ablauf einer Authentifizierung mit Kerberos

Um Kerberos besser zu verstehen, hier ein vereinfachter Ablauf einer Authentifizierung für die Nutzung eines Services als Beispiel:

Zunächst authentifiziert sich der Client mit seinen Benutzerdaten gegenüber dem AS. Dieser stellt bei erfolgreicher Authentifizierung dem Client ein Ticket Granting Ticket (TGT) aus. Mit diesem TGT und der Anfrage eines bestimmten Servicenamens wendet sich der Client an den Ticket Granting Server. Der TGS prüft das TGT und stell dem Client ein Service-Ticket aus. Mit diesem Ticket wendet sich der Client an den Host, der den Service bereitstellt. Der Host prüft das Ticket und gewährt dem Client den entsprechenden Zugriff.

Vor- und Nachteile des Authentifizierungsdiensts Kerberos

Vorteile des Authentifizierungsdiensts sind:

• ausgereiftes, sicheres und robustes Authentifizierungsprotokoll mit starker Verschlüsselung

• für alle TCP/IP-Netzwerke geeignet

• Single-Sign-on-fähig

• von den gängigen Betriebssystemen unterstützt

• transparentes und standardisiertes Authentifizierungsprotokoll

• Open-Source-basiert

Als Schwachstellen lassen sich nennen:

• sicherer Einsatz erfordert die Verwendung starker Passwörter oder eine zusätzliche Absicherung durch Multi-Faktor-Authentifizierung (MFA)

• Key Distribution Center muss verfügbar sein und darf nicht ausfallen

• beteiligte Hosts müssen sich zeitlich synchronisieren, da Tickets nur eine bestimmte Zeit gültig sind

• unter Umständen sind Systeme so konfiguriert, dass sie aus Kompatibilitätsgründen eine automatische Rückfalloption zu einer unsicheren Authentifizierungsmethode haben (zum Beispiel NTLM bei Windows)

• aufgrund der Beliebtheit des Authentifizierungsdiensts existieren mittlerweile zahlreiche zum Teil sehr ausgeklügelte Cyberangriffsmethoden wie Pass-the-Ticket-Angriffe, Golden-Ticket-Angriffe oder Credential-Stuffing-Angriffe

Definition

Was ist Active Directory?