关于Kerberos认证原理的对话

安全知识：关于Kerberos认证原理的对话

 

作者：MIT出处：foxlog.net[ 2005-07-19 13:30 ]
摘要：这是为了帮助人们理解Kerberos的原理而写的一篇对话集。里面有两个虚构的人物:Athena和Euripides，通过Athena不断的构思和Euripides不断的寻找其中的漏洞，使大家明白了Kerberos协议的原理
--------------------------------------------------------------------------------
文章导读 1、第一幕 2、第二幕 3、第三幕 4、第四幕 5、后记

　　Athena: 雅典娜，智慧与技艺的女神。

 

　　Euripides:欧里庇得斯, 希腊的悲剧诗人。

 

　　译文如下:

 

　　第一幕

 

　　在一个小工作间里。Athena和Euripides正在相邻的终端上工作。

 

　　Athena: 嗨，这个分时操作系统实在太慢了。我根本无法工作，因为每个人都登上去了。

 

　　Euripides: 不要对我报怨。我只是在这工作。

 

　　Athena: 你知道我们需要什么吗?我们需要给每一个人一台工作，这样大家就不会担心计算机的速度了。并且，我们需要一个网络把所有的计算机都联起来。

 

　　Euripides: 好。那么我们差不多要一千台工作站?

 

　　Athena: 差不多吧。

 

　　Euripides: 你知道一台普通的工作站的硬盘有多大吗?那里放不下所有的软件。

 

　　Athena: 我已经有主意了。我们可以把系统软件放到服务器上。当你登录到工作站的时候，工作站会通过网络与其中一台服务器上的系统软件联系。这样的设置让一组工作站都使用同一份系统软件，并且利于系统软件的升級。只需改动服务器就可以了。

 

　　Euripides: 好的。个人的文件怎到办呢?在分时操作系统上，我可以登录并从终端上取走我的文件。我能到工作站上取我的文件吗?我要象PC用户一样把我的文件放到磁盘上去吗?我希望不。

 

　　Athena: 我想我们可以其它机器来存文件。你可以到任何一台机器上登录去取你的文件。

 

　　Euripides: 打印怎么办呢?每个工作站都要有自已的打印机吗?谁来付钱?电子邮件呢?你怎么把邮件送到所有的工作站上去呢?

 

　　Athena: 啊.....很明显我们没钱为每个人配一台打印机，但我们有专门的机器做打印服务。你把请求送到服务器，它就为你打印。邮件也可以这样做。专门有一台邮件服务器。你如果想要你的邮件，就联系邮件服务器，取走你的邮件。

 

　　Euripides: 你的工作站系统听起来很不错。如果我有一台，你知道我要做什么吗?我要找出你的用户名，让我的工作站认为我就是你。然后我就去邮件服务器取走你的邮件。我会联上你的文件服务器，移走你的文件，然后--

 

　　Athena: 你能做得到吗?

 

　　Euripides: 当然!这些网络服务器怎么会知道我不是你?

 

　　Athena: 嗯，我不知道.我想我需要认真思考一下.

 

　　Euripides: 好吧。你想出来后告诉我.

 

　　第二幕

 

　　Euripides的办公室，第二天早上。Euripides坐在他的桌子旁边，读着他的邮件。Athena来敲门.

 

　　Athena: 我已经想出怎样保护一个开放的网络系统，使象你那样不道德的人不能用别人的名字使用网络服务。

 

　　Euripides: 真的吗?坐吧。

 

　　她坐下了。

 

　　Athena: 在我开始描述之前，我可以为我们的讨论先做一个约定吗?

 

　　Euripides: 什么约定?

 

　　Athena: 好，假设我这样说:"我想要我的邮件，于是我与邮件服务器联系，请求它把邮件送到我的工作站上来。"实际上我并没有联系服务器。我用一个程序来与服务器联系并取得我的邮件，这个程序就是这个服务的客户端。 但我不想每次与服务器交互的时侯说:"客户端怎样怎样".我只想说:"我怎样怎样,"记住，客户端在代表我做所有的事。这样可以吗?

 

　　Euripides: 当然。没问题.

 

　　Athena: 好。那么我要开始阐述我所解决的问题了。在一个开放的网络环境中，提供服务的机器必须能够识别请求服务的实体的身份。如果我去邮件服务器申请我的邮件，服务程序必须能够验证我就是我所申明的那个人。

 

　　Euripides: 没错.

 

　　Athena: 你可以用一个笨办法解决这个问题:服务器让你输入你的口令。通过输口令的办法我可以证明我是谁。

 

　　Euripides: 那确实很笨拙。在像那样的系统里面，每一个服务器必须知道你的口令。如果网络有一千个用户,那每个服务器就要知道一千个口令。如果你想改变口令，你就必须联系所有服务器，通知它们修改口令。我想你的系统不会那么笨。

 

　　Athena: 我的系统没那么笨。它是象这样工作的:不光人有口令，服务也有口令。每个用户知道他们自已的口令，每个服务也知道它自已的口令。有一个认证服务知道所有的口令，用户的和服务的。认证服务把口令保存在一个单独的中央数据库中。

 

　　Euripides: 这个认证服务有一个名字吗?

 

　　Athena: 我还没想好。你想一个吧?

 

　　Euripides: 把死人送过冥河的人是谁?

 

　　Athena: Charon?

 

　　Euripides: 对，就是他。如果他不能证实你的身份的话，他就不会把你送过河。

 

　　Athena: 你瞎编，是不是想重写希腊神话。Charon不关心你的身份，他只是确定你死了没有。

 

　　Euripides: 你有更好的名字吗?

 

　　停了一下。

 

　　Athena: 没有，真的没有。

 

　　Euripides: 好，那我们就把这个认证服务“Charon”。

 

　　Athena: 好，我猜我该描述一下这个系统了吧，嗯?

 

　　比如说我们想要一种服务:邮件。在我的系统里面你无法使用一种服务，除非Charon告诉服务你确实是你所申明的人。也就是说你必须得到Charon的认证才能使用服务。当你向Charon请求认证的时候，你必须告诉Charon你要使用哪一个服务。如果你想用邮件，你要告诉Charon。 Charon请你证明你的身份。于是你送给它你的密码。Charon把你的密码和它数据库中的密码相比较。如果相等，Charon就认为你通过了验证。 Charon现在就要让邮件服务知道你通过了验证。既然Charon知道所有服务的密码，它也知道邮件服务的密码。Charon把邮件服务的密码给你，你就可以使用这个密码使邮件服务相信你已通过验证。 问题是，Charon不能直接给你密码，因为你会知道它。下次你想要邮件服务的时候，你就会绕过Charon使用邮件服务而不需要认证。你也可以假装某人来使用邮件服务。 所以不是直

接给你邮件服务的