Kerberos

KERBEROS
DEFINICIÓN
Kerberos es un protocolo de validación de identificación usado en muchos sistemas reales, basado en una variación del de Needham-Schroeder; se llama así por un perro de varias cabezas de la mitología griega que solía cuidar la entrada al averno (supuestamente para mantener fuera a los indeseables). Kerberos se diseñó en el M.I.T. para permitir a los usuarios de estaciones detrabajo el acceso a recursos de una manera segura; su principal diferencia respecto del protocolo de Needham-Schroeder es el supuesto de que todos los relojes están bastante bien sincronizados.
HISTORIA
Durante 1983 en el M.I.T. ( Massachussetts Institute of Technology) comenzó el proyecto Athena con el objetivo de crear un entorno de trabajo educacional compuesto por estaciones gráficas, redesde alta velocidad y servidores; el sistema operativo para implementar este entorno era Unix 4.3BSD, y el sistema de autenticación utilizado en el proyecto se denominó Kerberos en honor al perro de tres cabezas que en la mitología griega vigila la puerta de entrada a Hades, el infierno.
Hasta que se diseñó Kerberos, la autenticación en redes de computadores se realizaba principalmente de dosformas: o bien se aplicaba la autenticación por declaración (Authentication by assertion) o bien se utilizaban contraseñas para cada servicio de red. Evidentemente el primer modelo proporciona un nivel de seguridad muy bajo y el segundo modelo obliga al usuario a ir tecleando continuamente su clave. Kerberos trata de mejorar estos esquemas intentando por un lado que un cliente necesite autorizaciónpara comunicar con un servidor (y que esa autorización provenga de una máquina confiable), y por otro eliminando la necesidad de demostrar el conocimiento de información privada (la contraseña del usuario) divulgando dicha información.
Kerberos se ha convertido desde entonces en un referente obligatorio a la hora de hablar de seguridad en redes. Se encuentra disponible para la mayoría de sistemasUnix, y viene integrado con OSF/DCE ( Distributed Computing Environment). Está especialmente recomendado para sistemas operativos distribuidos, en los que la autenticación es una pieza fundamental para su funcionamiento: si conseguimos que un servidor logre conocer la identidad de un cliente puede decidir sobre la concesión de un servicio o la asignación de privilegios especiales. Sigue vigente enla actualidad (en su versión V), a pesar del tiempo transcurrido desde su diseño; además fue el pionero de los sistemas de autenticación para sistemas en red, y muchos otros diseñados posteriormente, como KryptoKnight, SESAME o Charon se basan en mayor o menor medida en Kerberos.
ELEMENTOS
Un servidor Kerberos se denomina KDC ( Kerberos Distribution Center), y provee de dos serviciosfundamentales: el de autenticación (AS, Authentication Service) y el de tickets (TGS, Ticket Granting Service). El primero tiene como función autenticar inicialmente a los clientes y proporcionarles un ticket para comunicarse con el segundo, el servidor de tickets, que proporcionará a los clientes las credenciales necesarias para comunicarse con un servidor final que es quien realmente ofrece un servicio.Además, el servidor posee una base de datos de sus clientes (usuarios o programas) con sus respectivas claves privadas, conocidas únicamente por dicho servidor y por el cliente que al que pertenece.
La arquitectura de Kerberos está basada en tres objetos de seguridad: Clave de Sesión, Ticket y Autenticador.
* La clave de sesión es una clave secreta generada por Kerberos y expedida a uncliente para uso con un servidor durante una sesión; no es obligatorio utilizarla en toda la comunicación con el servidor, sólo si el servidor lo requiere (porque los datos son confidenciales) o si el servidor es un servidor de autenticación. Se suele denominar a esta clave KCS , para la comunicación entre un cliente C y un servidor S.
Las claves de sesión se utilizan para minimizar el uso de las...