커버로스(Kerberos)

• 개요
  • MIT에서 개발한 인증 시스템으로, 사용자의 로그인을 인증한 후 그 사용자의 신원을 네트워크에 흩어져 있는 서버 호스트에 증명
  • 커버로스는 rlogin, mail, NFS 등에 다양한 보안 기능을 제공
  • 서비스를 받기 위한 티켓 발급 서버로부터 발급받은 티켓을 사용해 서버로부터, 인증을 받음
       
• 인증 절차
  • 클라이언트가 서비스를 받기 위해서는 클라이언트 자신의 신원을 커버로스의 인증 서버로 부터 인증(로그인 과정 또는 초기 인증 과정)을 받음
  • 인증 메시지인 티켓의 발급 과정과 클라이언트가 이것을 이용하여 서비스를 받는 과정
    
  •    
• 인증 매커니즘
  • Authentication Service(AS)의 교환
    • 클라이언트의 비밀키를 알고 있는 커버로스 인증 서버와 클라이언트 사이의 최초의 교환
    • 클라이언트는 AS교환을 통해 몇몇 다른 서버에 접근하기 위해 사용되는 티켓을 얻음
    • AS 교환은 접속 세션의 시작에서 사용되고, 사용자의 패스워크가 클라이언트에게 알려졌을 때 사용
    • 지정된 서버는 보통 티켓을 수요하는 인증 서버이고, 다른 티켓들은 접속 세션에서 인증서버로 부터 얻어질 수 있음
  • Ticket Granting Service(TGS)의 교환
    • 티켓 수여 서버로 알려진 인증 서버와 클라이언트 사이의 교환이고, 클라이언트 비밀키를 사용하지 않음
    • 클라이언트는 접속 세션에서 민감한 키의 모든 지식을 지울 수 있고, 대신 AS 교환에서 획득된 티켓 수여 서버에 대한 티켓을 사용
    • TGS 교환에서는 클라이언트가 어떤 다른 지정된 서버에 접근하기 위해 사용되는 또 다른 티켓을 획득
    • TGS 교환은 전형적으로 접속 세션에서 사용되고, 어떤 서버에 접근하기 위한 요구가 일어날 때 사용
  • 클라이언트/서버(CS)의 교환
    • 클라이언트와 서버를 선택적으로 인증하는 교환 메커니즘으로, 오버헤드를 감소시키는 효과를 줌
    • AS 또는 TGS 교환에서 획득된 티켓을 사용
         
• 커버로스
  • 커버로스는 개방된 컴퓨터 네트워크 내에서 서비스 요구를 인증하기 위한 안전한 방법으로, 미국 MIT의 Athena 프로젝트에서 개발
  • 커버로스라는 이름은 그리스 신화에서 저승의 신 하데스의 문을 지키는 머리가 셋달린 개를 의미
  • 커버로스는 사용자가 인증과정으로부터 암호화된 '티켓'을 요청 할 수 있게 해주는데, 이 티켓은 서버에 특정 서비스를 요구하는데 사용될 수 있고, 사용자의 암호는 네트워크를 통할 필요가 없음
• 커버로스의 동작 원리
  • 사용자가 텔넷이나 기타 이와 비슷한 로그인 요청을 통해 다른 컴퓨터의 서버에 접근하기 원한다고 가정하면, 이 서버는 사용자의 요청을 받아들이기 전에 커버로스 "티켓"을 요구
  • 사용자가 티켓을 받기 위해 먼저 인증 서버에 인증을 요구하고, 인증 서버는 사용자가 입력한 패스워드에 기반하여 "세션키"와 서비스 요구를 나타내는 임의의 값을 작성(세션키는 사실항 "티켓을 부여하는 티켓" 임)
  • 만약 사용자가 세션키를 티켓 수여 서버, 즉 TGS(Ticket Granting Server)에 보내면 인증 서버와 물리적으로 동일한 서버일 수 있는 TGS는 서비스를 요청할 때 서버에 보낼수 있는 티켓을 돌려줌
  • TGS로부터 받은 티켓에는 발송 일자와 시간이 적혀 있기 때문에 일정 시간 동안(약 8시간 동안)에는 재인증 없이도 동일한 티켓으로 다른 추가 서비스를 요청할 수 있음(티켓을 제한된 시간 동안에만 유효하게 함으로써 후에 다른 사람이 그것을 사용할 수 없도록 함)