5 - Perguntas e respostas
1) Qual a utilidade do tempero de senha ?
O tempero tem o objetivo de tornar chaves de diferentes domínios geradas a partir de uma mesma senha diferentes, de modo que um possível comprometimento de uma conta em um domínio não provoca automaticamente o comprometimento do outro.
2) Qual a necessidade de sincronização de horários entre cliente e servidor ?
O protocolo trabalha com base em marcações de momento (data e hora) em suas operações e transações sobre bilhetes. A fim de dificultar que um bilhete seja roubado e utilizado posteriormente, os computadores envolvidos nas transações Kerberos rejeitam bilhetes com prazo de validade vencido. Para que esta metodologia funcione, é necessário sincronização de horários entre cliente e servidor.
3) Se um impostor conseguir capturar e enviar bilhete e autenticador antes de encerrar o prazo de validade, como fica ?
O cache de reprodução presente nos servidores de aplicação e de concessão de bilhetes permite o reconhecimento de réplicas de bilhetes. Assim sendo, o impostor não seria capaz de capturar ambos bilhete e autenticador e fazê-los chegar aos servidores antes dos legítimos.
4) Se um dos objetivos do protocolo é que a senha do usuário jamais deve trafegar pela rede, como é feita a autenticação ?
O KDC conhece a senha do usuário solicitante. Assim, ao receber a solicitação de autenticação inicial, o servidor responde uma mensagem criptografada com a chave do usuário, gerada a partir de sua senha. Quando o cliente recebe a resposta, o usuário é solicitado a digitar sua senha e, se é realmente quem diz ser, entrará com uma senha que gere uma chave capaz de descriptografar o bilhete. Obviamente, o processo de autenticação não se resume a somente esta troca de mensagem, contudo, se houver falsidade por parte do usuário neste caso, ficará engastado nesta etapa.
5) Como o NFS versão 4 garante integridade em comunicações baseadas no protocolo Kerberos ?
O sistema calcula MAC (do inglês Message Authentication Code) baseado em MD5 (do inglês Message-Digest algorithm 5) em cada solicitação de chamada a procedimento remoto ao servidor, e em cada resposta ao cliente. O MAC é calculado em uma mensagem inteira: cabeçalho RPC + argumentos NFS ou resultados. Ao ser recebido o conjunto mensagem + MAC no servidor, ele verifica se a mensagem recebida gera o mesmo MAC que recebeu do cliente. Assim, krb5i provê proteção de integridade.