Migrationsleitfaden Version 3.0

1.1.3 Heimdal-Kerberos /MIT Kerberos 5
Zunächst einige Ausführungen zum grundsätzlichen Funktionsprinzip von Kerberos: Bei
einer kerberosgesicherten Kommunikation sind drei Parteien beteiligt:
� Ein Client, der einen Dienst anfragt
� Ein Server, der angefragt wird
� Der Kerberos-Server, der die Berechtigungen vorhält und eine gesicherte Kommunikation
ermöglicht
Der Kerberos-Dienst authentisiert dabei sowohl den Client gegenüber dem Server als
auch den Server gegenüber dem Client. Dabei muss sowohl auf dem anfragenden Client
als auch auf dem angefragten Server eine Kerberos-Unterstützung installiert sein.
Unter Kerberos sendet ein Client, in der Regel ein Nutzer oder ein Dienst, eine Ticketanfrage
zum Key Distribution Center (KDC). Dieser generiert dann ein Ticket-Granting
Ticket (TGT) für den Client und verschlüsselt dieses mit dem Passwort und/oder Smartcard
des Clients und sendet es an den Client zurück. Der Client entschlüsselt das TGT
mittels Passworts und/oder der Smartcard und behält das entschlüsselte TGT, das die
Identität des Clients sicherstellt. Dieses zeitlich befristete TGT ermöglicht es dem Client,
zusätzliche Tickets zu erlangen, die dem Client die Nutzung bestimmter Dienste erlauben.
Der Prozess zum Erlangen eines zusätzlichen Tickets verläuft ohne weitere Aktivität
des Nutzers. Der Client sendet das Ticket an den Dienst, der überprüft, ob er dem
Client den Zugriff gestatten soll.
Auf diese Art ermöglicht Kerberos eine authentisierte, optional über einen Sitzungsschlüssel
auch verschlüsselte Kommunikation. Die Kerberos Tickets können dabei optional
in einer Datei oder im Arbeitsspeicher des Clients gespeichert werden.
Die Referenzimplementierung des Kerberosprotokolls ist die Implementierung des MIT.
Die aktuelle Version 1.6.3 unterstützt die Versionen 4 und 5 des Protokolls. Unterstützt
werden die Standard-Kerberos-Verschlüsselungsverfahren, wie DES und 3DES, weiterhin
werden RC4, das von Active Directory Kerberos genutzte Verfahren, sowie AES unterstützt.
Prüfsummenverfahren, die zur Verfügung stehen, sind MD5, SHA-1, HMAC
und CRC32. MIT Kerberos steht für Linux, Windows und Mac zur Verfügung.
Heimdal-Kerberos ist eine neuere, freie Implementierung des Kerberosprotokolls für
Unix, Linux und Mac, die aktuell in der Version 1.01 vorliegt 175 . Sie ähnelt der MIT-
Implementierung stark. So werden zum Beispiel ebenfalls die Kerberos-Versionen 4 und
5 unterstützt sowie die gleichen Verschlüsselungsverfahren wie bei MIT Kerberos.
Auf Basis dieser Mechanismen lässt sich mit Kerberos auch eine sogenannte starke
Authentisierung realisieren. Eine starke Authentisierung erfordert neben dem Wissen
bzgl. des Benutzernamens und des Passworts in der Regel zusätzlich den physischen
Besitz eines Gegenstands, zum Beispiel eines Tokens, der systemabhängige Zahlen
generiert, die zur Authentisierung eingegeben werden müssen. Die erforderliche Sicherheit
ist dabei vom konkreten Anwendungsfall abhängig.
175 Stand 01.11.2007
Seite 195