Kerberos

Kerberos (Wikipedia) ist ein Authentifizierungsdienst für Netzwerke. Der Unterschied zur normalen Unix-Authentifizierung mittels Paßwortabfrage ist der folgende:

Bei der normalen Authentifizierung wird beim Anmelden einmal das Paßwort abgefragt. Ist das Paßwort korrekt, bleibt der Nutzer solange authentifiziert bis er sich wieder vom System abmeldet. Es erfolgt aber keine Speicherung des erfolgreichen Authentifizierungsvorgangs (sieht man davon ab, daß die bestehende Sitzung dies implizit dokumentiert). Möchte sich der Nutzer auf einem anderen Rechner anmelden, muß er sich dort erneut mit seinem Paßwort authentifizieren (solange er keine alternativen Wege wie key login verwendet).

Mit Kerberos wird der Anmeldevorgang durch Erstellen eines "Tickets" protokolliert, das eine Zeitlang gültig ist und dem System gegenüber nachweist, daß der Benutzer authentifiziert ist. Bei zukünftigen Authentifizierungen kann der Benutzer daher einfach sein Ticket vorzeigen und muß sich nicht erneut per Paßwort authentifizieren. Das "Vorzeigen" des Tickets geschieht dabei automatisch wenn ein Dienst mit Authentifizierungsbedarf genutzt wird. Das Ticket selbst ist durch kryptographische Methoden gegen Mißbrauch und Manipulation geschützt.

Wir werden die Authentifikation innerhalb der TechFak schrittweise auf Kerberos umstellen, da es die folgenden Vorteile bietet:

Absicherung der Dateiserver gegen Zugriff Dritter

Mit Hilfe des Netzwerk-Dateisystems NFSv4 und Kerberos werden jedoch nur Daten an einen Nutzer ausgeliefert, der sich mit Hilfe eines passenden Kerberos-Tickets ausweisen kann. Dadurch kommt man auch mit Systemadminstratorrechten über das Netzwerk nicht mehr an die Nutzerdaten heran: Die einzige Möglichkeit das Kerberos-Ticket zu erhalten besteht darin das richtige Paßwort des Benutzers einzugeben. Das Paßwort ist aber auch dem Systemadministrator nicht bekannt.

Einheitliche Authentifizierung innerhalb der TechFak