文章目录
Kerberos使用背景
1、个人文件还是公司文件以及服务都存在于一台系统上，所有人都要去一台机器办公，效率非常低，为每个人分配了电脑以后就需要考虑安全问题
2、如何让服务器正确识别每一个人，假定所有数据包在传输过程中都可以被任意截取和修改
3、在每一台电脑上都存入所有人的账户密码是不现实的，所以引入一个认证服务统一管理所有的用户密码
4、假设用户访问邮件服务，认证服务让你提供密码以此来证明身份，它把你提供的密码和数据库中的密码相比较，通过认证，认证服务不会提供给你任何密码，不然下次你就可以不认证直接利用密码登录，认证服务会给你一张票，拿到票后，你把此票给邮件服务，以此来证明你的身份
5、需要解决的问题，每次使用还没有得到票的服务前，都必须给认证密码。比如使用邮件服务，就要输入一次。使用文件服务，又要输入一次。打印服务，还要输入一次，并且网络中明文传输密码。不法分子就可以监听网络流量获取密码。
6、引入"票据授权"服务(TGS)，TGS将代替认证服务的发票功能，以后认证服务不在提供票据，如果你有TGS发放的服务票证，可以使用此票对应的服务
7、如果你通过了认证服务的验证，将会得到一张票据授权票(TGT)，现在你想使用邮件服务，然而还没有邮件服务的票，所以你使用"票据授权"票去取邮件服务的票，"票据授权"票，可以使用此票获取你需要的其他服务票
8、解决密码明文传输，当你取得票据授权票时，不再发送密码，而只发送你的用户名，认证服务得到用户名以后用此用户名查你的密码，之后认证服务会制作一个包含票据授权票(TGT)的数据包，并且用你的密码加密此数据包，这样即使数据包被截取没有密码无法解密也获取不到TGT
9、票据的有效期问题，有效期内票据丢失会产生复用，并且没法灵活销毁票据
10、引入会话密钥session key，认证服务，认证服务会返回票以及一份session key，都用用户的ntml加密，用户利用session key生成认证器来与服务进行沟通
kerberos认证流程
DC（Domain Controller）：域控制器，是域中一台拥有最高管理权限的计算机
AD（Active Directory）：活动目录数据库
KDC（Key Distributed Centre）：包含了AS和TGS。
AS（Authentication Server）：身份验证服务，为客户生成TGT的服务
TGS（Ticket GrantingServer）：票证发放服务器，通过你的TGT来发放ST
TGT（Ticket Granting Ticket）：票据授权票据，通过票据授权票据可以获得一个票据，类似临时凭证
ST（Service Ticket）：服务票据
如下图，客户端首先向AS发送请求，AS提供TGT身份票据给客户端，客户端得到TGT后去访问TGS，由TGS发放服务票据ST，最后客户端用ST去访问服务端，服务端给客户端回应：
详解：
1、客户端发送自己的用户名给AS
2、AS验证用户名是否在白名单列表，如果在的话随机生成session key(as)返回如下信息
TGT1(session key(as),TGS服务器信息等)--客户端NTLM哈希加密
TGT2(session key(as),客户端信息等)--KRBTGT NTLM哈希加密（KRBTGT可以理解为DC中最高权限的用户）
3、用自己的NTLM哈希解密TGT1， 获得TGS服务器信息以及session key(as)，TGT2由于是别人的哈希，所以解不开。
生成认证因子(客户端信息，当前时间)--session key(as)加密（认证因子用来验证TGT是否正确）
发送认证因子以及TGT2给TGS服务
4、TGS服务先解密TGT2获得session key(as)，紧接着利用session key(as)解密认证因子，对比认证因子与TGT2的客户端信息是否一致，如果一致生成session key(TGS)，返回如下信息给客户端
TGT3(session key(TGS),服务器信息，票据到期时间)--session key(as)加密
TGT4(session key(TGS),客户端信息，票据到期时间)--客户端想要访问的服务器的哈希加密
5、客户端解密TGT3，得到session key(TGS)，服务器信息
生成认证因子2(服务器信息，票据到期时间)--session key(TGS)加密
发送认证因子2以及TGT4给服务器
6、服务器先用自己的哈希解密TGT4得到session key(TGS)，客户端信息，票据有效期
利用session key(TGS)解密认证因子对比客户端信息（验证ST是否正确）决定是否提供服务
以下图的邮件服务为例：
客户端向域控DC中的AS发送请求，AS生成一个session key（身份令牌），session key（as）分别保存在TGT1和TGT2两个身份票据做临时凭证 中（其中TGT1用客户端的哈希加密，TGT2用最高管理用户的哈希加密），AS将session key（as）发给客户端，客户端用自己的NTLM哈希解密TGT1得到TGS服务器信息（TGT2无法被客户端解密），然后用session key（as）加密生成一个认证因子作为TGT2的证明。
然后客户端将认证因子以及TGT2发给TGS服务，TGS解密TGT2得到session key（as），解密认证因子并与认证因子做对比，如果一致则生成session key(TGS)，返回TGT3和TGT4给客户端，TG3被session key(as)加密，由于之前客户端接收到了session key（as），所以可以解密TGT3得到服务器信息，解密后客户端再次生成一个认证因子作为TGT4的证明。
最后客户端将认证因子及TGT4发送给邮件服务，邮件服务用哈希解密TGT4得到session key(TGS)，用它解密认证因子对比客户端信息，正确则提供服务。
黄金票据和白银票据
黄金票据伪造了kerberos中的身份票据TGT，白银票据伪造了kerberos中的服务票据ST。
黄金票据能访问该用户身份的所有服务，白银票据只能访问某一个具体的服务；伪造域管理员的身份的票据就是黄金票据。