Bilhetes de Sessão

Em vez de enviar as chaves de sessão criptografadas para ambas as entidades, o KDC envia cópias do cliente e do servidor da chave de sessão para o cliente. A cópia do cliente da chave de sessão é criptografada com oda chave mestrado cliente e, portanto, não pode ser descriptografada por nenhuma outra entidade. A cópia do servidor da chave de sessão é incorporada, juntamente com os dados de autorização sobre o cliente, em uma estrutura de dados chamada ticket. O ticket é totalmente criptografado com a chave mestra do servidor e, portanto, não pode ser lido ou alterado pelo cliente ou qualquer outra entidade que não tenha acesso à chave mestra do servidor. É da responsabilidade do cliente guardar o bilhete em segurança até ao contacto com o servidor.

Observação

O KDC fornece apenas um serviço de concessão de bilhetes. O cliente e o servidor são responsáveis por manter suas respetivas chaves mestras seguras.

 

Quando o cliente recebe a resposta do KDC, ele extrai o ticket e sua própria cópia da chave de sessão, colocando ambos de lado em um cache seguro. Para estabelecer uma sessão segura com o servidor, ele envia ao servidor uma mensagem que consiste no ticket, ainda criptografado com a chave mestra do servidor, e uma mensagem autenticadora criptografada com a chave de sessão. Juntas, o tíquete e a mensagem do autenticador são as credenciais de do cliente para o servidor.

Quando o servidor recebe credenciais de um cliente, ele descriptografa o tíquete com sua chave mestra , extrai a chave de sessão e usa a chave de sessão para descriptografar a mensagem do autenticador do cliente. Se tudo der certo, o servidor sabe que as credenciais do cliente foram emitidas pelo KDC, uma autoridade confiável. Para autenticação mútua, o servidor responde criptografando o carimbo de data/hora da mensagem autenticadora do cliente usando a chave de sessão. Esta mensagem encriptada é enviada para o cliente. Em seguida, o cliente desencripta a mensagem. Se a mensagem retornada for igual ao carimbo de data/hora na mensagem do autenticador original, o servidor será autenticado.

Como um benefício adicional, o servidor não precisa armazenar as chaves de sessão que usa com seus clientes. É responsabilidade de cada cliente gerenciar o ticket para o servidor em seu cache de tickets e apresentar esse ticket cada vez que acessar o servidor. Sempre que o servidor recebe um ticket de um cliente, ele usa sua chave mestra para descriptografar o ticket e extrair a chave de sessão. Quando o servidor não precisa mais da chave de sessão, a chave é excluída.

O cliente não precisa acessar o KDC cada vez que deseja acessar esse servidor específico. Os bilhetes podem ser reutilizados. Como precaução contra a possibilidade de roubo de bilhetes, os bilhetes têm um tempo de validade, especificado pelo KDC na estrutura do bilhete. O tempo de validade de um tíquete depende da política Kerberos para o reino. Normalmente, os tíquetes não são válidos por mais de oito horas, aproximadamente a duração de uma sessão normal de logon . Quando o usuário em uma estação de trabalho cliente faz logoff, o cache de tíquetes do cliente é liberado e todos os tíquetes e chaves de sessão do cliente são destruídos.