Makale Özeti

Bu temel düzey makale Kerberos güvenlik mekanizması ile ilgili "genel" bilgileri okuyucuya sunmaktadır.

Makale

Genel Bakış

Kerberos protokolü istemcilerin ağ kimlik doğrulama servisleri ile etkileşime nasıl gireceklerini tanımlar. İstemciler, Kerberos Anahtar Dağıtım Merkezinden (Kerberos Key Distribution Center – KDC ) bilet alarak, bu bileti bağlantı kurdukları sunuculara gösterirler. Kerberos biletleri, istemcinin ağ kimlik doğrulama bilgilerini temsil eder. Bu istemci bir kullanıcı olabileceği gibi, bir uygulama da olabilir. Kerberos kimlik doğrulama protokolü, istemci ve sunucuların güvenli bir ağ bağlantısı kurmadan önce karşılıklı olarak kimliklerini doğrulamaları için bir mekanizma sunar. İstemci ve sunucular “Security Principal” diye de anılırlar. Bu noktada bir kaynağa erişim sağlamaya çalışan her kişi, uygulama veya sistem bir Security Principal’dır.

Kerberos, istemciler ve sunucular arasında gerçekleşen işlemlerin yer aldığı ağ için belli varsayımlar ortaya koyar. Kerberos, ağ üzerindeki çoğu istemci ve sunucunun fiziksel olarak güvenli olmadığını varsayar. Kerberos, ağ üzerinde dolaşan paketlerin izlenerek değiştirilebileceğini varsayar. Bu varsayımlar, saldırganların kolayca istemci veya sunucu gibi davranabildiği, istemci ve sunucular arasında gerçekleşen meşru iletişimi kurcalayıp, gizlice dinleyebildiği bugünün Internet ortamı gibi bir yapıyı tanımlar.

Temel Kimlik Doğrulama Konuları

İstemci – Sunucu uygulama modelinde istemciler, bir iş yaptırmak isteyen kullanıcıları temsil eder. Burada belirtilen iş, bir dosyanın açılması ve kullanılması, posta kutusuna erişim, veritabanını sorgulamak veya bir dokümanın çıktısını almak olabilir. Sunucular, istemcilere dosya depolama, posta yönetimi, sorgu işlemleri ve yazıcı çıktı havuzu gibi servisler veren programlardır. İstemci iste, sunucu yanıtlar. Genelde, sunucular belirli bir iletişim port’unu dinleyerek, istemcilerin bu porta bağlanmasını ve kendilerinden bir servis isteğinde bulunmalarını beklerler.

Kerberos protokol modelinde, her istemci-sunucu iletişimi kimlik doğrulama işlemi ile başlar. İstemci ve sunucular sırayla bir dizi aktivite içerisine girer. Bu aktiviteler iletişim hattının karşı tarafındaki kişinin (kullanıcı, uygulama, sunucu) gerçekten söylediği kişi olup olmadığını ortaya koymak için tasarlanmıştır. Eğer kimlik doğrulama süreci olumlu sonuçlanırsa, oturum yapılandırması tamamlanır ve güvenli bir istemci-sunucu bağlantısı kurulmuş olur.

Kerberos protokolünün çalışma prensiplerini daha detaylı anlayabilmek için, Kerberos’un temel olarak kullandığı anahtar doğrulaması, kimlik doğrulama mesajları, anahtar dağıtımı, oturum biletleri, bilet onaylama biletleri gibi kavramları ve işlemleri incelemek gerekir.

Anahtar Doğrulaması

Birçok kimlik doğrulama mekanizması, bir yapının kendi kimliğini ispat etmesi için, parola gibi belirli bir anahtarı bilmesi ya da bilebilecek olmasını ispat etmesi gerektiği fikirinden hareket eder. Parola gibi gizli bir bilgiye güvenen kimlik doğrulama tekniklerinin, bu bilginin herkes tarafından bilinmesini engellemesi, bu sırrı güvenli bir biçimde saklaması gerekir. Bir parola sahibi girmek istediği bir odanın kapısının önüne gelerek, kapıyı açmak için parolayı söyleyebilir. Kapının arkasında kapıyı dinleyen bir kişi bu parolayı öğrenebilir, kapı yanlış kapı olabilir. Bir sırrı gizli tutabilmek için, kullanıcının parolayı bildiğini, parolayı açığa çıkarmadan ispat etmesi gerekir. Kerberos protokolünün kullanıcıları doğrulamak için kullandığı, Gizli Anahtar doğrulaması işte bu fikir üzerine kuruludur. Buradaki “gizli” kelimesi, kimlik doğrulama işleminin gizlilik içerisinde yapılması gerektiğini ifade etmektedir; doğrulama işleminin, anahtarın içeriğini ortaya çıkarmadan yapması gerekir.