‫دانشگاه صنعتی شریف‬
‫دانشکده مهندسی کامپیوتر‬
‫آزمایشگاه امنیت داده و شبکه‬
‫‪http://dnsl.ce.sharif.edu‬‬
‫درس ‪ :9‬کربروس‬
‫محمد صادق دوستی‬
‫‪1 / 39‬‬
‫امنیت داده و شبکه‬
‫محمد صادق دوستی‬
‫فهرست‬
‫‪ ‬تاریخچه‬
‫‪ ‬کربروس در سطح باال‬
‫‪ ‬جزئیات کربروس ‪5‬‬
‫‪ ‬قلمروهای کربروس‬
‫‪ ‬کربروس در امروز‬
‫‪2 / 39‬‬
‫امنیت داده و شبکه‬
‫محمد صادق دوستی‬
‫پروژه آتنا (‪)Project Athena‬‬
‫‪ ‬آتنا‪ :‬ایزدبانوی نگهبان شهر آتن‬
‫‪ ‬پروژه آتنا‪ :‬پروژهای مشترک بین ‪ DEC ،MIT‬و ‪IBM‬‬
‫‪‬هدف‪ :‬ایجاد محیطی برای محاسبات توزیع شده‪.‬‬
‫‪‬آغاز ‪ ،1983‬پایان تحقیق و توسعه ‪.1991‬‬
‫‪‬هنوز (‪ )2015‬هم به فعالیت ادامه میدهد‪.‬‬
‫‪‬بودجه‪ 50 :‬میلیون دالر‬
‫‪‬محصوالت اصلی‪ ،Kerberos :‬سیستم‬
‫‪ ،X Window‬پیامرسان ‪Zephyr‬‬
‫‪3 / 39‬‬
‫امنیت داده و شبکه‬
‫محمد صادق دوستی‬
‫کربروس (‪ Kerberos‬یا ‪)Cerberus‬‬
‫‪ ‬کربروس (‪ :)Κέρβερος‬بر گرفته از اسطوره یونانی‬
‫‪‬نااام سااگی سااهساار کااه محاااف دروازههااای عااالم مردگااان بااود‬
‫نمیگذاشت زندگان مزاحم ارواح شده و ارواح از عالم مردگان خارج‬
‫شوند‪.‬‬
‫‪Authentication‬‬
‫‪Accounting‬‬
‫‪Audit‬‬
‫‪4 / 39‬‬
‫امنیت داده و شبکه‬
‫محمد صادق دوستی‬
‫تاریخچه کربروس – ‪1‬‬
‫‪ ‬مبتنی بر پروتکل تصدیق هویت نیدهام‪-‬شارودر (‪ )1978‬و اصاحح‬
‫شده آن توسط دنینگ و ساکو (‪.)1981‬‬
‫‪‬کلید متقارن استفاده از ‪ KDC‬به کارگیری برچسب زمانی‪.‬‬
‫‪ ‬نسخه ‪ 1‬الی ‪ 3‬کربروس در ‪ MIT‬به صورت داخلی‪.‬‬
‫‪ ‬نسخه ‪ 4‬در سال ‪ 1990‬به طور رسمی منتشر شد‪.‬‬
‫‪‬استفاده از ‪ DES‬برای رمزنگاری‬
‫‪‬دارای محدودیتها و اشکاالت امنیتی فراوان‬
‫‪5 / 39‬‬
‫امنیت داده و شبکه‬
‫محمد صادق دوستی‬
‫تاریخچه کربروس – ‪2‬‬
‫‪ ‬نسخه ‪ 5‬در ‪ 1993‬به طور رسمی منتشر شد (‪.)RFC 1510‬‬
‫‪ ‬تا سال ‪ ،2000‬رمزنگاری در آمریکا «سحح» محسوب میشد‪.‬‬
‫‪‬انتشار کد کربروس به خارج از آمریکا جرم بود‪.‬‬
‫‪‬دانشگاه ‪ KTH‬سوئد با الهام از مساتندات نساخه ‪ ،4‬نساخهای از‬
‫کربروس را با عنوان ‪ eBones‬منتشر ساخت‪.‬‬
‫‪ ‬اسااتاندارد ‪ 5‬کربااروس (‪ )RFC 1510‬در سااال ‪ 2005‬تحاات عنااوان‬
‫‪ RFC 4120‬اصحح شد‪.‬‬
‫‪6 / 39‬‬
‫امنیت داده و شبکه‬
‫محمد صادق دوستی‬
‫تاریخچه کربروس – ‪3‬‬
‫‪ ‬سایر اصححات کربروس در ‪:2005‬‬
‫‪‬به کارگیری روشهای متنوع رمزنگاری و صحت (‪)RFC 3961‬‬
‫‪‬به کارگیری ‪)RFC 3962( AES‬‬
‫‪ ‬در سال ‪ MIT ،2007‬کنسرسیوم کربروس را تشکیل داد‪.‬‬
‫‪‬شامل شرکتهایی چون اراکل‪ ،‬اپل‪ ،‬گوگل‪ ،‬و مایکروسافت‬
‫‪‬نهادهای دانشگاهی نظیر ‪ ،KTH‬استنفورد و ‪MIT‬‬
‫‪ ‬مایکروسااافت بااا توجااه بااه اسااتفاده از کربااروس در ‪Active‬‬
‫‪ ،Directory‬چندین بهبود عمده در آن داده است‪.‬‬
‫‪7 / 39‬‬
‫امنیت داده و شبکه‬
‫محمد صادق دوستی‬
‫تاریخچه کربروس – ‪4‬‬
‫‪ ‬بهبودهای مایکروسافت‪:‬‬
‫‪‬به روز رسانی ‪ GSS-API‬در ‪RFC 4121‬‬
‫‪‬مذاکره الگوریتمهای رمز در ‪RFC 4537‬‬
‫‪‬امکاااان اساااتفاده از زیرسااااخت کلیاااد عماااومی در کرباااروس‬
‫(‪ )PKIINIT‬در ‪RFC 4556‬‬
‫‪ OCSP‬برای ‪ PKINIT‬در ‪RFC 4557‬‬
‫‪‬الگوریتمهای ‪ RC4-HMAC‬برای کربروس در ‪RFC 4757‬‬
‫‪‬رمزنگاری خم بیضوی برای ‪ PKINIT‬در ‪RFC 5349‬‬
‫‪8 / 39‬‬
‫امنیت داده و شبکه‬
‫محمد صادق دوستی‬
‫تاریخچه کربروس – ‪5‬‬
‫‪ ‬سایر بهبودهای مایکروسافت‪:‬‬
‫‪‬قیود جدید برای نامها در ‪RFC 6111‬‬
‫‪‬پشتیبانی از گمنامی در ‪RFC 6112‬‬
‫‪‬پیش‪-‬تصدیق هویت در ‪RFC 6113‬‬
‫‪‬استاندارد سازی نامگذاری در ‪RFC 6806‬‬
‫‪ ‬امااروزه سااه پیااادهسااازی عمااده از کربااروس وجااود دارد‪،MIT :‬‬
‫هایمدال (‪ )Heimdal‬و مایکروسافت (‪)Active Directory‬‬
‫‪9 / 39‬‬
‫امنیت داده و شبکه‬
‫محمد صادق دوستی‬
‫فهرست‬
‫‪ ‬تاریخچه‬
‫‪ ‬کربروس در سطح باال‬
‫‪ ‬جزئیات کربروس ‪5‬‬
‫‪ ‬قلمروهای کربروس‬
‫‪ ‬کربروس در امروز‬
‫‪10 / 39‬‬
‫امنیت داده و شبکه‬
‫محمد صادق دوستی‬
‫تصدیق هویت در یک سیستم توزیع شده‬
‫کاربران‬
‫)‪Workstation (WS‬‬
‫کارگزارها‬
‫کارگزار‬
‫فایل‬
‫شبکه‬
‫کارگزار‬
‫‪Mail‬‬
‫کارگزار‬
‫‪edu‬‬
‫‪11 / 39‬‬
‫امنیت داده و شبکه‬
‫محمد صادق دوستی‬
‫سه روش تصدیق هویت در یک سیستم توزیع شده‬
‫‪.1‬‬
‫اعتماد کامل به ‪WS‬ها‪ :‬هر ‪ ،WS‬هویت کاربران خود را تصادیق‬
‫میکند‪ .‬هر کارگزار‪ ،‬بر اساس ‪ ID‬تصادیق شاده کااربر‪ ،‬خادمت‬
‫ارائه میدهد‪.‬‬
‫‪.2‬‬
‫اعتماد متوسط به ‪WS‬ها‪ :‬هر ‪ WS‬خود را برای کارگزار‪ ،‬تصدیق‬
‫هویت میکند‪ .‬پا از آن کاارگزار باه تصادیق هویات کااربران‬
‫توسط ‪WS‬ها اعتماد دارد‪.‬‬
‫‪.3‬‬
‫کمترین اعتماد به ‪WS‬ها‪ :‬هرکاربر ‪ ID‬خود را برای ساروی ‪ ،‬و‬
‫هر سروی ‪ ID‬خود را برای کاربر تصدیق نماید‪WS .‬هاا صارفا‬
‫نقش اجرای پروتکلها را دارند‪.‬‬
‫‪12 / 39‬‬
‫امنیت داده و شبکه‬
‫محمد صادق دوستی‬
‫اهداف طراحی کربروس‬
‫‪ ‬کربروس روش سوم را که امنتر و مناسب محیطهای بازر‬
‫برگزید‪.‬‬
‫اسات‬
‫‪ ‬سایر اهداف‪:‬‬
‫‪‬امنیت در برابر حمحت فعال و منفعل‬
‫‪‬اتکاپذیری نبود تکنقطه خرابی در سیستم‬
‫‪‬شفافیت کاربر غیر از وارد نمودن ناام کااربری‪/‬گاذرواژه بارای باار‬
‫نخست‪ ،‬دیگر درگیر تصدیق هویت نشود‪ SSO( .‬اولیه!)‬
‫‪‬گسترشپذیری سیستم باید بتواند تعداد زیادی کاربر و کارگزار را‬
‫پشتیبانی نماید‪.‬‬
‫‪13 / 39‬‬
‫امنیت داده و شبکه‬
‫محمد صادق دوستی‬
‫ و تعامل در سطح باال‬5 ‫موجودیتهای کربروس‬
KDC
0
1 AS_REQ
username/
password
2
6
‫محمد صادق دوستی‬
TGS
Ticket-Granting
Service
AS_REP
(TGT, ks1)
3
4
AS
Authentication
Service
TGS_REP
(Ticket, ks2)
TGS_REQ
(TGT, Auth1)
‫کارگزار‬
5
Access Service
(Ticket, Auth2)
Response
‫امنیت داده و شبکه‬
14 / 39
‫سلسله مراتب کلیدها در کربروس ‪5‬‬
‫‪ ‬گذرواژه‪ :‬کلید طوالنی مدت به روش مشخصای (ماالح درهامساازی) از‬
‫روی گذرواژه کاربر ساخته شده و در یاک انبااره مرکازی نازد ‪KDC‬‬
‫نگهداری میشود‪.‬‬
‫‪‬در طول نشست‪ ،‬فقط یک مرتبه ورود نام کاربری ‪ /‬گذرواژه (‪.)SSO‬‬
‫‪‬باید در اسرع وقت از حافظه ‪ WS‬پاک شود‪.‬‬
‫‪ ‬بلیت اعطای بلیت (‪ )TGT‬و ‪ :ks1‬عمر آن برابر عمر نشست اسات‪ .‬در‬
‫طی نشست فقط یک مرتبه نیاز به دریافت آن است‪.‬‬
‫‪ ‬بلیت (اعطای سروی ) و ‪ :ks2‬عمر آن برابر عمر نشست است‪ .‬در طای‬
‫نشست‪ ،‬به ازای هر سروی ‪ ،‬فقط یک مرتبه نیاز به دریافت آن است‪.‬‬
‫‪15 / 39‬‬
‫امنیت داده و شبکه‬
‫محمد صادق دوستی‬
‫هدف از بلیتها و کلیدهای نشست‬
‫‪ ‬هر بلیت حاوی اطحعاتی است که به دارنده آن اجازه میدهد طی دوره‬
‫زمانی مشخص‪ ،‬به خدمت مورد نظر دست یابد‪.‬‬
‫‪‬بلیت اعطای بلیت‪ :‬دسترسی به خدمت دریافت بلیت‬
‫‪‬بلیت اعطای سروی ‪ :‬دسترسی به سروی‬
‫مورد نظر‬
‫‪ ‬بلیتها به صورت آشکار در اختیار ‪ WS‬قرار میگیرند‪ ،‬و ‪ WS‬بلیتهاا‬
‫را به صورت آشکار به ‪ TGS‬یا کارگزار میدهد‪.‬‬
‫‪ ‬برای جلوگیری از تکرار‪ ،‬کلیدهای نشست مورد استفاده قرار میگیرند‪.‬‬
‫‪ WS‬به همراه بلیت‪Authenticator ،‬ای را ارائه میکند که با کلید‬
‫نشست ساخته شده و حاوی برچسب زمانی است‪.‬‬
‫‪16 / 39‬‬
‫امنیت داده و شبکه‬
‫محمد صادق دوستی‬
‫اعتماد در کربروس‬
‫‪ ‬کاربران به ‪WS‬ها اعتماد دارند‪.‬‬
‫‪‬به همین دلیل گذرواژه خود را به ‪ WS‬میدهند‪.‬‬
‫‪‬با ایان حاال ‪ WS‬بایاد بحفاصاله پا‬
‫از دریافات ‪ TGT‬و ‪،ks1‬‬
‫گذرواژه را از حافظهاش پاک نماید‪.‬‬
‫‪ ‬همه به ‪ KDC‬اعتماد دارند‪.‬‬
‫‪17 / 39‬‬
‫امنیت داده و شبکه‬
‫محمد صادق دوستی‬
‫فهرست‬
‫‪ ‬تاریخچه‬
‫‪ ‬کربروس در سطح باال‬
‫‪ ‬جزئیات کربروس ‪5‬‬
‫‪ ‬قلمروهای کربروس‬
‫‪ ‬کربروس در امروز‬
‫‪18 / 39‬‬
‫امنیت داده و شبکه‬
‫محمد صادق دوستی‬
‫جزئیات کربروس ‪5‬‬
‫‪ ‬در ادامه مهمترین بخشهای پیامهای کربروس ‪ 5‬را میبینیم‪.‬‬
‫‪ ‬عمدا از برخی از جزئیات صرفنظر کردهایم تا فهم پیامها سادهتر باشد‪.‬‬
‫‪ ‬نمادگذاری‪:‬‬
‫‪ :W‬ایستگاه کاری (‪)Workstation‬‬
‫‪ :U‬کاربر‪،‬‬
‫‪ :S‬کارگزار‬
‫‪ :KU‬کلید طوالنی مدت کاربر با ‪( KDC‬بر اساس گذرواژه)‬
‫‪ :KTGS‬کلید طوالنی مدت ‪TGS‬‬
‫‪ :KS‬کلید طوالنی مدت کارگزار با ‪KDC‬‬
‫‪19 / 39‬‬
‫امنیت داده و شبکه‬
‫محمد صادق دوستی‬
‫دو پیام نخست‪ :‬دریافت ‪ TGT‬و کلید نشست ‪1‬‬
‫‪IDU ║ IDTGS ║ TIMES ║ nW‬‬
‫‪ WAS:‬‬
‫║ ‪IDU ║ TGT‬‬
‫‪ ASW:‬‬
‫‪{ks1 ║ TIMES ║ nW ║ IDTGS}KU‬‬
‫‪ :TIMES ‬زمان آغاز و پایان اعتبار ‪TGT‬‬
‫‪TGT = {ks1 ║ IDU ║ ADDRW ║ TIMES}KTGS‬‬
‫کااه در آن‪ ADDRW ،‬آدرس شاابکه (معمااوال ‪ )IP‬ایسااتگاه کاااری‬
‫است‪.‬‬
‫‪20 / 39‬‬
‫امنیت داده و شبکه‬
‫محمد صادق دوستی‬
2 ‫ دریافت بلیت و کلید نشست‬:‫دو پیام دوم‬
 WTGS:
IDS ║ TIMES ║ nW ║ TGT ║Auth1
 TGSW:
IDU ║ TICKETS ║
{ks2 ║ TIMES ║ nW ║ IDS}ks1
TGT = {ks1 ║ IDU ║ ADDRW ║ TIMES}KTGS
TICKETS = {ks2 ║ IDU ║ ADDRW ║ TIMES}KS
Auth1 = {IDU ║ tW}ks1
‫محمد صادق دوستی‬
‫امنیت داده و شبکه‬
21 / 39
‫دو پیام سوم‪ :‬تصدیق هویت دو طرفه با کارگزار‬
‫‪TICKETS ║Auth2‬‬
‫‪ WS:‬‬
‫‪{tW║ Subkey ║ Seq#}ks2‬‬
‫‪ SW:‬‬
‫‪TICKETS = {ks2 ║ IDU ║ ADDRW ║ TIMES}KS‬‬
‫‪Auth2 = {IDU ║ tW ║ Subkey ║ Seq#}ks2‬‬
‫‪ ‬در پیامهای باال‪ W ،‬و ‪ S‬روی یاک زیار کلیاد (‪ )Subkey‬بارای‬
‫فقط یک مرتبه خدمت توافق میکنند‪.‬‬
‫‪22 / 39‬‬
‫امنیت داده و شبکه‬
‫محمد صادق دوستی‬
‫فهرست‬
‫‪ ‬تاریخچه‬
‫‪ ‬کربروس در سطح باال‬
‫‪ ‬جزئیات کربروس ‪5‬‬
‫‪ ‬قلمروهای کربروس‬
‫‪ ‬کربروس در امروز‬
‫‪23 / 39‬‬
‫امنیت داده و شبکه‬
‫محمد صادق دوستی‬
‫مفهوم قلمرو (‪)Realm‬‬
‫‪ ‬به تعادادی «کااربر و ساروی » (‪ )Principal‬کاه همگای در حیطاه‬
‫کنترل یک ‪ KDC‬کربروس هستند‪ ،‬قلمرو آن ‪ KDC‬گفته میشوند‪.‬‬
‫‪ ‬معمااوال هاار قلماارو خودمختااار بااوده و تحاات نظااارت یااک راهباار‬
‫(‪ )Administrator‬قرار دارد‪.‬‬
‫‪ ‬گاه ممکن است کاربر یک قلمرو بخواهد از کارگزار قلمرو دیگر خادمت‬
‫بگیرد‪.‬‬
‫‪ ‬برای این منظور باید روابط اعتماد مشخصی تعریف شود‪.‬‬
‫‪‬کاربرد‪ :‬خدمات بین دو سازمان‪ ،‬دو شرکت‪ ،‬دو دانشگاه‪ ،‬و ‪...‬‬
‫‪24 / 39‬‬
‫امنیت داده و شبکه‬
‫محمد صادق دوستی‬
‫راهکار کربروس ‪4‬‬
‫‪ ‬در کربروس ‪ ،4‬برای خدمتدهی بین قلمروها‪ ،‬الزم است هر دو ‪KDC‬‬
‫با هم کلید مشترک داشته باشند‪.‬‬
‫‪ WS ‬ابتدا برای ‪ AS‬خود تصدیق هویت شده و ‪ TGT‬میگیرد‪.‬‬
‫‪ WS ‬با ارائه ‪ TGT‬به ‪ TGS‬خود‪ ،‬یک بلیت برای دسترسی به ‪TGT‬‬
‫قلمرو دیگر میگیرد‪.‬‬
‫‪ WS ‬بلیاات گااام قباال را بااه ‪ TGS‬قلماارو دیگاار داده و بلیتاای باارای‬
‫دسترسی به کارگزار قلمرو دیگر میگیرد‪.‬‬
‫‪ WS ‬بلیت گام قبل را به کارگزار قلمرو دیگر داده و خدمت میگیرد‪.‬‬
‫‪25 / 39‬‬
‫امنیت داده و شبکه‬
‫محمد صادق دوستی‬
‫ایراد راهکار کربروس ‪ ،4‬و راهکار کربروس ‪5‬‬
‫‪ ‬اگر ‪ N‬قلمرو داشته باشیم‪ ،‬راهکار کرباروس ‪ 4‬باه )‪ O(N2‬کلیاد‬
‫بین ‪KDC‬ها نیاز دارد‪.‬‬
‫‪‬عدم گسترشپذیری‬
‫‪ ‬در کربروس ‪ ،5‬تمام پیامها حاوی اطحعات قلمرو هستند‪.‬‬
‫‪ WS‬در ابتدا قلمرو خود و ‪ IDTGS‬را به ‪ AS‬میگوید‪.‬‬
‫‪ AS‬قلماارو ‪ TGS‬را بااه ‪ WS‬گفتااه و قلماارو ‪ WS‬را در ‪TGT‬‬
‫میگنجاند‪.‬‬
‫‪ TGS‬قلماارو ‪ S‬را بااه ‪ WS‬گفتااه و قلماارو ‪ WS‬را در بلیاات‬
‫میگنجاند‪.‬‬
‫‪26 / 39‬‬
‫امنیت داده و شبکه‬
‫محمد صادق دوستی‬
‫راهکار کربروس ‪( 5‬ادامه)‬
‫‪‬‬
‫عحوه بر تغییرات فوق‪ ،‬کرباروس ‪ 5‬در هار پیاام تعادادی پارچم (‪ )Flag‬را‬
‫تنظیم میکند‪.‬‬
‫‪‬‬
‫یکی از پرچمهای مهم‪ ،‬پرچم ‪ FORWARDED‬است‪.‬‬
‫‪‬بلیتی که این پرچم روی آن تنظیم شده باشد‪ ،‬میتواند با نشانی شابکهای‬
‫متفاوتی صادر شود‪.‬‬
‫‪‬مفید برای وقتی که شبکه ساختار سلسله مراتبی (درختی) دارد‪.‬‬
‫‪‬به جای اشتراک کلید باین هار دو ‪ ،KDC‬مایتاوان در سااختار درختای‬
‫شبکه بین هر دو گره (‪KDC‬هاای مجااور در درخات) کلیاد باه اشاتراک‬
‫گذاشت‪.‬‬
‫‪‬کافی است بلیت در مسایر باین ‪ WS‬و ‪ S‬روی درخات ‪FORWARD‬‬
‫شود‪.‬‬
‫‪27 / 39‬‬
‫امنیت داده و شبکه‬
‫محمد صادق دوستی‬
‫فهرست‬
‫‪ ‬تاریخچه‬
‫‪ ‬کربروس در سطح باال‬
‫‪ ‬جزئیات کربروس ‪5‬‬
‫‪ ‬قلمروهای کربروس‬
‫‪ ‬کربروس در امروز‬
‫‪28 / 39‬‬
‫امنیت داده و شبکه‬
‫محمد صادق دوستی‬
‫خروجی اجرای کربروس ‪( 5‬اکتیو دایرکتوری) در ‪Wireshark‬‬
‫‪29 / 39‬‬
‫امنیت داده و شبکه‬
‫محمد صادق دوستی‬
‫نکات مهم – ‪1‬‬
‫‪ KDC ‬در پاسااااان باااااه نخساااااتین ‪ ،AS-REQ‬خطاااااای‬
‫‪ PREAUTH-REQUIRED‬را ارائه داده است‪.‬‬
‫‪‬پاایش‪-‬تصاادیق هویاات (‪ )Pre-Authentication‬یکاای از‬
‫بهبودهای مایکروسافت بر کربروس است (‪)RFC 6113‬‬
‫‪ AS‬به ‪ WS‬بلیت ‪ TGT‬را نمیدهد‪ ،‬مگر آنکه ‪ WS‬ابتادا اابات‬
‫کند که کلید ‪ KU‬را دارد ‪ ‬افزایش امنیت‬
‫‪30 / 39‬‬
‫امنیت داده و شبکه‬
‫محمد صادق دوستی‬
‫نکات مهم – ‪2‬‬
‫‪ ‬کربروس از ‪ UDP‬پورت ‪ 88‬استفاده میکند‪.‬‬
‫‪ ‬در حال حاضر امکان به کارگیری ‪ TCP‬پورت ‪ 88‬نیز وجود دارد‪.‬‬
‫‪ ‬حتی در ‪ RFC 6251‬امکاان بهارهگیاری از کرباروس بار بساتر‬
‫‪ SSL/TLS‬نیز تعریف شده است‪.‬‬
‫‪31 / 39‬‬
‫امنیت داده و شبکه‬
‫محمد صادق دوستی‬
‫نکات مهم – ‪3‬‬
‫‪ ‬برخی از پیامها به صورت آشکار قابل مشاهده هستند‪:‬‬
‫‪‬نام کاربر‪erodriguez :‬‬
‫‪‬نام قلمرو‪EXAMPLE.COM :‬‬
‫‪‬واژه ‪krbtgt‬‬
‫‪‬تاریخها (…‪)20370913‬‬
‫‪32 / 39‬‬
‫امنیت داده و شبکه‬
‫محمد صادق دوستی‬
‫تفسیر ‪ Wireshark‬از پیامهای کربروس ‪1 -‬‬
‫نسخه کربروس (‪)5‬‬
‫نوع پیام (‪)AS-REQ‬‬
‫پرچمها‬
‫نام و قلمرو کاربر‬
‫نام و قلمرو ‪TGS‬‬
‫تاریخها‬
‫الگوریتمهای رمز‬
‫مورد پذیرش کاربر‬
‫‪33 / 39‬‬
‫امنیت داده و شبکه‬
‫محمد صادق دوستی‬
‫تفسیر ‪ Wireshark‬از پیامهای کربروس ‪2 -‬‬
‫‪ ‬تمرین‪ :‬خطای ‪PREAUTH-REQUIRED‬‬
‫‪34 / 39‬‬
‫امنیت داده و شبکه‬
‫محمد صادق دوستی‬
‫تفسیر ‪ Wireshark‬از پیامهای کربروس ‪3 -‬‬
‫‪ AS-REQ ‬به همراه ‪PREAUTH‬‬
‫داده رمز و‬
‫تصدیق هویت‬
‫شده‬
‫‪35 / 39‬‬
‫امنیت داده و شبکه‬
‫محمد صادق دوستی‬
‫تفسیر ‪ Wireshark‬از پیامهای کربروس ‪4 -‬‬
‫بلیت (شامل بخش‬
‫آشکار و رمز شده)‬
‫‪36 / 39‬‬
‫امنیت داده و شبکه‬
‫محمد صادق دوستی‬
keytab ‫رمزگشایی پیامهای کربروس به کمک فایل‬
A keytab is a file used to store the
encryption keys for one or more
Kerberos principals (usually host
and/or service principals).
‫محمد صادق دوستی‬
‫امنیت داده و شبکه‬
37 / 39
‫برنامههای ‪Kerberized‬‬
‫‪ ‬یکی از روشهای پیادهسازی ‪ SSO‬در سازمانها‪ ،‬توسعه برنامههاای‬
‫‪ Kerberized‬است‪.‬‬
‫‪‬برنامههایی که قادرند با بلیتهای کربروس کار کنند و بر اساس این‬
‫بلیتها به کاربران خدمت دهند‪.‬‬
‫‪API ‬های متنوعی بارای ‪ Kerberize‬نماودن برناماههاا وجاود‬
‫دارد‪.‬‬
‫‪ ‬مرورگرها نیز میتوانند با بلیتهای کربروس کار کنند‪.‬‬
‫‪‬مناسب برای کاربردهای مبتنی بر وب‪.‬‬
‫‪38 / 39‬‬
‫امنیت داده و شبکه‬
‫محمد صادق دوستی‬
‫پایان‬
‫صفحه درس‪:‬‬
‫‪http://ce.sharif.edu/courses/94-95/2/ce442-1/‬‬
‫مراجعه حضوری جهت رفع اشکال‪ :‬یکشنبهها ‪ 17‬الی ‪18‬‬
‫(طبقه پنجم دانشکده‪ ،‬درب شیشهای جنب آسانسور)‬
‫یا در زمانهای دیگر با قرار قبلی‬
‫یا به وسیله رایانامه‪dousti@ce :‬‬
‫‪39 / 39‬‬
‫امنیت داده و شبکه‬
‫محمد صادق دوستی‬