AD的Kerberos认证过程中，在AD中密码使用不可逆加密的情况下，LSA和AD的密码加密算法是否需要相同

Question

如下是我了解AD的Kerberos协议时的疑惑：

LSA在客户端时已经将用户密码进行加密，此时LSA如何知道应该使用哪种算法加密用户密码。一般我们在AD中的密码已经是不可逆加密后的密钥，Kerberos在AS阶段时，如果取AD中的密钥使用其他算法再次加密响应，那客户端是否需要进行知道AD的加密算法，再对用户密码进行AD不可逆算法加密、Kerberos AS阶段算法加密两次加密过程？

我了解到AD还可以使用Digest Authentication认证，在Digest Authentication认证过程中，系统会对比用户密码的哈希值，如果哈希值不同，则会检查AD中的密码是否是可逆加密，如果是可逆加密则重新计算哈希值。Kerberos的密码哈希是否也遵循这个规则？

综上所述，我想知道在AD中账号密码已经使用不可逆加密算法的情况，LSA如何知道AD的加密算法并完成Kerberos认证。

Answer 1

您好，

在Active Directory (AD) 中，Kerberos认证过程中涉及到的密码加密和解密确实是一个复杂的过程。以下是对你问题的详细解答：

LSA如何知道加密算法：

在客户端，Local Security Authority (LSA) 使用用户的密码来生成Kerberos票据。LSA会根据AD中的配置来确定使用哪种加密算法。具体来说，AD中的用户账户有一个属性叫做msDS-SupportedEncryptionTypes，这个属性定义了该账户支持的加密类型。LSA会读取这个属性并使用相应的加密算法来处理密码。

不可逆加密的处理：

AD中的密码通常是以不可逆的方式存储的（例如使用哈希算法）。在Kerberos认证的AS（Authentication Service）阶段，KDC（Key Distribution Center）会使用存储在AD中的密码哈希值来验证客户端发送的认证请求。客户端在发送请求时，会使用相同的加密算法对密码进行处理，以确保KDC能够正确解密和验证。

Kerberos和Digest Authentication的区别：

Digest Authentication和Kerberos认证在处理密码哈希方面有一些相似之处，但也有显著的区别。Digest Authentication会直接比较哈希值，而Kerberos认证则依赖于票据和密钥的加密解密过程。Kerberos不会直接比较密码哈希值，而是通过加密的票据来验证身份。

双重加密过程：

在Kerberos认证过程中，客户端确实需要知道AD使用的加密算法，以便正确地加密用户密码并生成认证请求。这个过程通常是透明的，因为客户端和KDC会协商使用的加密类型，并且这些类型在AD的配置中已经定义好了。

综上所述，LSA通过读取AD中的配置来确定使用的加密算法，并在Kerberos认证过程中使用相应的算法来处理密码。