So funktioniert die Kerberos-Authentifizierung

In herkömmlichen Computersystemen weisen Benutzer ihre Identität durch die Eingabe von Passwörtern nach. Obwohl diese Authentifizierungsmethode einfach einzurichten ist, weist sie einen schwerwiegenden Fehler auf. Wenn Hacker das Passwort stehlen oder knacken, ist es leicht, die Identität des Benutzers auszuspionieren. Eindringlinge melden sich als echter Benutzer an und das System ist anfällig für einen Angriff.

Die Kerberos-Authentifizierung schützt Benutzeranmeldeinformationen vor Hackern. Dieses Protokoll hält Passwörter jederzeit von unsicheren Netzwerken fern, auch während der Benutzerüberprüfung.

Lesen Sie weiter, um zu erfahren, was Kerberos-Authentifizierung ist und wie sie sowohl Endbenutzer als auch Systeme schützt.

Was ist Kerberos?

Kerberos ist ein Authentifizierungsprotokoll für Client/Server-Anwendungen. Dieses Protokoll basiert auf einer Kombination aus Verschlüsselung mit privatem Schlüssel und Zugriffstickets, um Benutzeridentitäten sicher zu überprüfen.

Die Hauptgründe für die Einführung von Kerberos sind:

• Klartext-Passwörter werden niemals über ein unsicheres Netzwerk gesendet.
• Jede Anmeldung umfasst drei Stufen der Authentifizierung.
• Die Verschlüsselung schützt alle Zugangsschlüssel und Tickets.
• Die Authentifizierung erfolgt auf Gegenseitigkeit, sodass sowohl Nutzer als auch Anbieter vor Betrug geschützt sind.

Das MIT entwickelte Ende der 80er Jahre die ersten Instanzen von Kerberos. Das Protokoll wurde nach Cerberus benannt, einem Wesen aus der griechischen Mythologie. Cerberus war ein wilder dreiköpfiger Hund, der Hades bewachte.

Eine verfeinerte Version von Kerberos kam von Microsoft als Teil von Windows 2000. Seitdem wurde Kerberos zum Standardautorisierungsprotokoll von Windows. Implementierungen von Kerberos gibt es auch für Apple OS, FreeBSD, UNIX und Linux. Das Kerberos-Konsortium behandelt das Protokoll als Open-Source-Projekt.

Drei Hauptkomponenten von Kerberos

Jede Kerberos-Verifizierung umfasst ein Key Distribution Center (KDC). Der KDC fungiert als vertrauenswürdiger Authentifizierungsdienst eines Drittanbieters und wird vom Kerberos-Server aus betrieben. KDC besteht aus drei Hauptkomponenten:

• Ein Authentifizierungsserver (AS): Der AS führt die Erstauthentifizierung durch, wenn ein Benutzer auf einen Dienst zugreifen möchte.
• Ein Ticket Granting Server (TGS): Dieser Server verbindet einen Benutzer mit dem Serviceserver (SS).
• Eine Kerberos-Datenbank: In dieser Datenbank werden IDs und Passwörter verifizierter Benutzer gespeichert.

Alle Kerberos-Authentifizierungen finden in Kerberos-Bereichen statt. Ein Bereich ist eine Gruppe von Systemen, über die ein KDC die Befugnis hat, Benutzer und Dienste zu überprüfen.

So funktioniert die Kerberos-Authentifizierung

Mit Kerberos authentifizieren sich Benutzer nie direkt beim Dienst. Stattdessen durchlaufen sie eine Reihe von Schritten, die von verschiedenen Teilen des Schlüsselverteilungszentrums ausgeführt werden.

Der AS verifiziert Benutzer mit Entschlüsselung

Das Kerberos-Protokoll beginnt damit, dass der Benutzer über den Authentifizierungsserver Zugriff auf einen Dienst anfordert. Diese Anfrage wird teilweise mit einem geheimen Schlüssel, dem Passwort des Benutzers, verschlüsselt. Das Passwort ist ein gemeinsames Geheimnis zwischen dem Benutzer und dem AS.

Der AS kann die Anfrage nur entschlüsseln, wenn der Benutzer die Nachricht mit dem richtigen Passwort verschlüsselt hat. Bei einem falschen Passwort kann die AS die Anfrage nicht interpretieren. In diesem Fall verifiziert AS den Benutzer nicht und der Authentifizierungsprozess schlägt fehl.

Sobald die Anfrage entschlüsselt ist, erstellt der AS ein Ticket-Granting-Ticket (TGT) und verschlüsselt es mit dem geheimen Schlüssel des TGS. Dieser Schlüssel ist ein gemeinsames Geheimnis zwischen dem AS und dem Ticket Granting Server.

Ein TGT enthält einen Client-/TGS-Sitzungsschlüssel, ein Ablaufdatum und die IP-Adresse des Clients. Die IP-Adresse schützt vor Man-in-the-Middle-Angriffen. Sobald ein TGT ausgegeben wird, sendet der AS es an den Benutzer.

Das TGS verbindet Benutzer mit Serviceservern

Der Benutzer sendet das TGT an das TGS. Wenn das Ticket gültig ist und der Benutzer eine Berechtigung zum Zugriff auf den Dienst hat, stellt die TGS ein Serviceticket aus.

Ein Serviceticket enthält die Client-ID, die Netzwerkadresse des Clients, den Gültigkeitszeitraum und den Client-/Server-Sitzungsschlüssel. Das Serviceticket wird mit einem geheimen Schlüssel verschlüsselt, der mit dem Serviceserver geteilt wird.

Anschließend sendet der Benutzer das Ticket zusammen mit der Serviceanfrage an den Serviceserver. Der SS entschlüsselt den Schlüssel und gewährt Zugriff auf die angeforderten Ressourcen.

Verifizierung ohne Klartext-Passwörter

Während des gesamten Verifizierungsprozesses erreicht ein Klartextkennwort niemals das KDC oder den Dienstserver. Die Verschlüsselung schützt alle drei Sätze temporärer privater Schlüssel.

Kerberos funktioniert sowohl mit symmetrischer als auch mit asymmetrischer (öffentlicher) Kryptografie. Das Protokoll beherrscht auch die Multi-Faktor-Authentifizierung (MFA).

Kerberos-Authentifizierungsschritte

Die Kerberos-Authentifizierung ist ein mehrstufiger Prozess. Nehmen wir an, ein Benutzer möchte auf einen Netzwerkdateiserver zugreifen, um ein Dokument zu lesen. Im Folgenden sind die Schritte aufgeführt, die zur Authentifizierung über Kerberos erforderlich sind:

Schritt 1: Der Benutzer sendet eine Anfrage an den AS

Der Benutzer stellt eine verschlüsselte Anfrage an den Authentifizierungsserver. Wenn der AS die Anfrage erhält, sucht er anhand der Benutzer-ID in der Kerberos-Datenbank nach dem Passwort.

Wenn der Benutzer das richtige Passwort eingegeben hat, entschlüsselt der AS die Anfrage.

Schritt 2: Der AS stellt ein TGT aus

Nach der Verifizierung des Benutzers sendet der AS ein Ticket Granting Ticket zurück.

Schritt 3: Der Benutzer sendet eine Anfrage an das TGS

Der Benutzer sendet das TGT an den Ticket Granting Server. Zusammen mit dem TGT erklärt der Benutzer auch den Grund für den Zugriff auf den Dateiserver.

Der TGS entschlüsselt das Ticket mit dem geheimen Schlüssel, der mit dem AS geteilt wird.

Schritt 4: TGS stellt ein Serviceticket aus

Ist das TGT gültig, stellt das TGS dem Nutzer ein Serviceticket aus.

Schritt 5: Der Benutzer kontaktiert den Dateiserver mit dem Serviceticket

Der Client sendet das Serviceticket an den Dateiserver. Der Dateiserver entschlüsselt das Ticket mit dem geheimen Schlüssel, der mit TGS geteilt wird.

Schritt 6: Der Benutzer öffnet das Dokument

Wenn die geheimen Schlüssel übereinstimmen, erlaubt der Dateiserver dem Benutzer, das Dokument zu öffnen. Das Serviceticket bestimmt, wie lange der Benutzer Zugriff auf den Datensatz hat.

Sobald der Zugriff abläuft, muss der Benutzer das gesamte Kerberos-Authentifizierungsprotokoll erneut durchlaufen.

Kerberos-Authentifizierungsdiagramm

Vorteile der Kerberos-Authentifizierung

Dies sind die Hauptvorteile der Einführung von Kerberos:

Verbesserte Sicherheit

Kryptografie, mehrere geheime Schlüssel und die Autorisierung durch Dritte machen Kerberos zu einem der sichersten Verifizierungsprotokolle der Branche.

Benutzerkennwörter werden niemals über das Netzwerk gesendet. Geheime Schlüssel passieren das System verschlüsselt. Wenn jemand Gespräche protokolliert, ist es schwierig, genügend Daten zu sammeln, um sich als Benutzer oder Dienst auszugeben.

Zugangskontrolle

Kerberos ist ein entscheidender Bestandteil heutiger Unternehmen. Das Protokoll ermöglicht eine hervorragende Zugriffskontrolle.

Mit Kerberos erhält das Unternehmen einen zentralen Punkt für die Durchsetzung von Sicherheitsrichtlinien und die Nachverfolgung von Anmeldungen.

Transparenz und Überprüfbarkeit

Kerberos macht es einfach zu erkennen, wer was und zu welcher Zeit angefordert hat. Transparente und präzise Protokolle sind für Sicherheitsüberprüfungen und -untersuchungen von entscheidender Bedeutung.

Gegenseitige Authentifizierung

Kerberos ermöglicht Benutzern und Dienstsystemen die gegenseitige Authentifizierung. Bei jedem Schritt des Authentifizierungsprozesses wissen sowohl der Benutzer als auch die Serversysteme, dass sie mit authentischen Gegenstücken interagieren.

Begrenzte Ticket-Lebensdauer

Alle Tickets im Kerberos-Modell verfügen über Zeitstempel und Lebenszeitdaten. Administratoren steuern die Dauer der Benutzerauthentifizierung.

Kurze Ticketlaufzeiten eignen sich hervorragend zur Verhinderung von Brute-Force- und Replay-Angriffen.

Skalierbarkeit

Mehrere Technologieriesen haben die Kerberos-Authentifizierung übernommen, darunter Apple, Microsoft und Sun. Die Akzeptanz bei Unternehmen spricht Bände über die Fähigkeit von Kerberos, mit den Anforderungen großer Unternehmen Schritt zu halten.

Wiederverwendbare Authentifizierungen

Kerberos-Authentifizierungen sind wiederverwendbar und dauerhaft. Der Benutzer verifiziert sich nur einmal beim Kerberos-System. Während der Gültigkeitsdauer des Tickets kann sich der Benutzer bei Netzwerkdiensten authentifizieren, ohne erneut persönliche Daten eingeben zu müssen.

Single Sign-On ist der direkteste Endbenutzervorteil von Kerberos.

Schnelle Korrekturen und Updates

Im Laufe der Jahre haben Spitzenprogrammierer und Sicherheitsexperten versucht, Kerberos zu knacken. Diese Prüfung stellt sicher, dass jede neue Schwachstelle im Protokoll schnell analysiert und behoben wird.

Kann Kerberos gehackt werden?

Kein Sicherheitsmodell ist völlig unverwundbar, und Kerberos bildet da keine Ausnahme. Da Kerberos so weit verbreitet ist, hatten Hacker zahlreiche Möglichkeiten, es zu umgehen.

Die größten Bedrohungen für ein Kerberos-System sind gefälschte Tickets, wiederholte Versuche, ein Passwort zu erraten, und Malware, die die Verschlüsselung herabstuft. Eine Kombination aller drei Taktiken ist das übliche Rezept für erfolgreiche Verstöße.

Zu den erfolgreichsten Methoden zum Hacken von Kerberos gehören:

• Pass-the-ticket: Ein Cyber-Angreifer fälscht einen Sitzungsschlüssel und legt die gefälschten Anmeldeinformationen vor, um an die Ressourcen zu gelangen. Hacker fälschen normalerweise ein goldenes Ticket (ein Ticket, das Domänenadministratorzugriff gewährt) oder ein silbernes Ticket (ein Ticket, das Zugriff auf einen Dienst gewährt).
• Credential Stuffing und Brute-Force-Angriffe: Automatisierte, kontinuierliche Versuche, ein Benutzerpasswort zu erraten. Die meisten Brute-Force-Angriffe erfolgen nach der ersten Ticketausstellung und dem Ticketgewährungsdienst.
• Skeleton-Schlüssel-Malware: Diese Malware umgeht Kerberos und stuft die Schlüsselverschlüsselung herab. Der Angreifer muss über Administratorzugriff verfügen, um den Cyberangriff zu starten.
• DCShadow-Angriff: Dieser Hack tritt auf, wenn Angreifer ausreichend Zugriff auf das Netzwerk erhalten, um ihren eigenen DC für eine weitere Infiltration einzurichten.

Trotz dieser Gefahren bleibt Kerberos das beste derzeit verfügbare Sicherheitsprotokoll. Wenn Benutzer gute Richtlinien zur Passwortwahl anwenden, ist die Wahrscheinlichkeit von Hacks minimal.

Schwächen der Kerberos-Authentifizierung

Während Kerberos Sicherheitsbedrohungen effektiv bewältigt, stellt das Protokoll einige Herausforderungen dar:

Der Kerberos-Server ist ein Single Point of Failure

Wenn der Kerberos-Server ausfällt, können sich Benutzer nicht anmelden. Fallback-Authentifizierungsmechanismen und sekundäre Server sind typische Lösungen für dieses Problem.

Strenge Zeitvorgaben

Datums-/Uhrzeitkonfigurationen der beteiligten Hosts müssen immer innerhalb vordefinierter Grenzen synchronisiert werden. Andernfalls schlagen Authentifizierungen fehl, da Tickets nur einen begrenzten Verfügbarkeitszeitraum haben.

Jeder Netzwerkdienst benötigt seine Kerberos-Schlüssel

Jeder Netzwerkdienst, der einen anderen Hostnamen erfordert, benötigt seinen Satz Kerberos-Schlüssel. Probleme mit virtuellem Hosting und Clustern sind keine Seltenheit.

Alle Knoten müssen mit der Authentifizierung durch Dritte kompatibel sein

Sowohl Benutzercomputer als auch Dienstserver müssen unter Berücksichtigung der Kerberos-Authentifizierung konzipiert sein.

Einige Legacy-Systeme und lokale Pakete sind nicht mit Authentifizierungsmechanismen von Drittanbietern kompatibel.

Ein altes, aber keineswegs veraltetes Protokoll

Cyberkriminalität ist ein bedauerlicher Aspekt der heutigen Glasfaserverbindung. Experten gehen davon aus, dass die durchschnittlichen Kosten einer Datenschutzverletzung für große Unternehmen im Jahr 2020 mehr als 150 Millionen US-Dollar betragen werden. Forbes prognostiziert, dass bald immer mehr Kriminelle künstliche Intelligenz (KI) nutzen werden, um ihre Angriffe zu skalieren und zu verbessern.

Das Problem der Cyberkriminalität wird so schnell nicht verschwinden. Die Kerberos-Authentifizierung ist für ein Unternehmen eine hervorragende Möglichkeit, seine Vermögenswerte sowohl jetzt als auch angesichts zunehmender Bedrohungen zu schützen.