Kerberos Servicio de autentificación desarrollado en el Massachusetts Institute of Technology (MIT) Perro de tres cabezas y cola de serpiente según mitología.

Presentación del tema: "Kerberos Servicio de autentificación desarrollado en el Massachusetts Institute of Technology (MIT) Perro de tres cabezas y cola de serpiente según mitología."— Transcripción de la presentación:

1 Kerberos Servicio de autentificación desarrollado en el Massachusetts Institute of Technology (MIT) Perro de tres cabezas y cola de serpiente según mitología griega, guardián de la entrada del Templo de Hades. Tres componentes guardarán la puerta: Autentificación, Contabilidad y Auditoría. Las dos últimas cabezas nunca han sido implementadas.

2 Kerberos: Introducción (1)
Proyecto Athena. MIT 1980. Basado en el protocolo de clave compartida basado en el protocolo de Needham y Schroeder. Los usuarios necesitan acceder a servicios remotos. Existen tres tipos de amenazas: Un usuario se hace pasar por alguien más. Un usuario altera la dirección de red de un host. Usuario usa técnicas de eavesdrop y replay attack.

3 Kerberos: Introducción (2)
Provee un server (centralizado) de autentificación para autentificar usuarios en servers y servers a usuarios. Utiliza criptografía convencional. 2 versiones: 4 y 5. La versión 4 utiliza DES.

4 Kerberos v. 4 Notación: C = cliente AS = servidor de autentificación
V = servidor IDc = identificador del usuario en C IDv = identificador de V Pc = password del usuario en C ADc = dirección de red de C Kv = clave secreta de encripción compartida por AS y V TS = estampilla de tiempo || = concatenación

5 Diálogo de Autentificación simple
C  AS: IDc || Pc || IDv AS  C: Ticket C  V: IDc || Ticket Ticket = EKv[IDc || Pc || IDv]

6 Diálogo de Autentificación v. 4
Problemas: El tiempo de vida asociado con los tickets. Si es muy corto: se deberá entrar el password repetidas veces. Si es muy largo: mayor oportunidad de replay. La amenaza: Que el atacante robe el ticket y lo use antes de que expire. Denial of Service: clock o TGS

7 Diálogo de Autentificación v. 4
Authentication Service Exhange: Para obtener Ticket-Granting Ticket C  AS: IDc || IDtgs ||TS1 AS  C: EKc [Kc,tgs|| IDtgs || TS2 || Lifetime2 || Tickettgs] Ticket-Granting Service Echange: Para obtener Service-Granting Ticket (3) C  TGS: IDv ||Tickettgs ||Authenticatorc (4) TGS  C: EKc [Kc,¨v|| IDv || TS4 || Ticketv] Client/Server Authentication Exhange: Para obtener Service (5) C  V: Ticketv || Authenticatorc (6) V  C: EKc,v[TS5 +1]

8 Kerberos: Vista General
Pedido de ticket-granting ticket AS DB Ticket +session key Pedido de service-granting ticket TGS Pedido de servicio Ticket +session key

9 Kerberos: Vista General

10 Pedido de servicio en otro Realm

11 Diferencias entre las versiones 4 y 5
Dependencia del sistema de encripción (V.4 DES) Dependencia del protocolo de red Orden de los bytes en el mensaje Tiempo de vida de los tickets Forwarding de autentificación Autentificación interrealm

12 Encripción en Kerberos

13 Modo PCBC

14 Kerberos en la Práctica
Dos versiones de Kerberos: 4 : un solo realm 5 : permite inter-realm Kerberos v5 es un Internet standard RFC1510, utilizado por muchas aplicaciones Para usar Kerberos: Necesita tener un KDC en su red Necesita aplicaciones kerberizadas Exportación fuera de US!

15 Autentificación en Windows 2000
MS adopta y extiende kerberos para su Win2K. Extensión: criptografía pública para proteger los mensajes cliente/AS (en lugar de passwords que protegen claves). Esto permite smartcards. Otra extensión: incluye la transmisión de privilegios de acceso (data auth field (en gral. vacío)). Extensión no convencional hace que no sea compatible con aplicaciones no MS. Raro?

16 Kerberos en la WWW http://www.google.com (buscar kerberos)
Bryant, W. Designing an Authentication System: A Dialogue in Four Scenes. Kohl, J.; Neuman, B. “The Evolution of the Kerberos Authentication Service” Capítulo 4 Stallings.

17 Coming Next! Seguridad en Redes (3)