Kerberos身份验证

Kerberos是更现代化的身份验证协议，它比 NTLM 认证更安全，但域内某些服务仍支持 NTLM 认证。Kerberos 和 NTLM 认证一样，都是通过在 SSPI 接口实现的功能，这使得使用第三方协议（如：HTTP、SMB、LDAP）在访问服务之前，Kerberos 和 NTLM 一样，由身份验证阶段转为会话阶段。

我们之前的文章表明，NTLM 身份验证阶段就是客户端和服务端展开的协商、挑战、验证，会话阶段就是使用 HTTP、SMB、LDAP 访问服务，那么这里的会话阶段与 Kerberos 身份验证后的会话阶段没有什么不同，我们把重点放在 Kerberos身份验证阶段。

Kerberos 身份验证阶段分为如下步骤：

• as-req & as-rep

• tgs-req & tgs-rep

• ap-req & ap-rep

经过上述步骤后进入会话阶段。

as-req & as-rep

• 此步骤用于客户端向 kdc 请求 tgt 认购权证

• as-req ：客户端发送请求

• as-rep ：kdc 返回 tgt 认购权证

上图是 as-req 请求内容，和 as-rep 响应内容。我来详细解释其中的细节。

tgt 请求流程

1. 客户端使用某个域用户的身份凭据（用户密码）生成用户 hash。

2. 客户端使用用户 hash 加密时间戳，并和一系列其他信息组成 as-req 发送给 kdc 以访问 kdc 的 krbtgt 服务（此服务主要用来颁发 tgt ）。