Používá symetrickou kryptografii, aby uživatel mohl přistupovat k více participujícím službám, aniž by heslo uživatele každé službě odesílal. Kerberos verze 5 je specifikován IETF.
Klient nejprve získává ticket-granting ticket od autentizační služby KDC. Poté jej prezentuje ticket-granting službě k získání servisního ticketu pro konkrétní servisní principál. Klient prezentuje servisní ticket a čerstvý autentikátor službě, která může také prokázat svou identitu klientovi. Tickety a relační klíče jsou drženy v cache přihlašovacích údajů do expirace či odstranění.
Klíčové body
Model důvěryDefinujte realm, principály, názvy služeb, vztahy mezi realmy, KDC a dlouhodobé klíče; chyba pojmenování či správy klíčů může autentizaci přesměrovat či rozbít.
Ochrana ticketůPoužívejte aktuální typy šifrování a pre-autentizaci, omezte životnost ticketů a delegaci, chraňte keytaby a cache přihlašovacích údajů a ničte tickety, když již nejsou potřebné.
Provozní závislostUdržujte přesný čas, odolnou službu KDC, kontrolovanou rotaci klíčů, chráněnou správu a logy, které umí rozlišit vydání od pozdějšího použití služby.
Důležité omezeníKerberos autentizuje principály, ale nerozhoduje, co autentizovaný principál smí dělat. Kompromitovaný KDC, klíč služby, koncové zařízení či cache ticketů může umožnit široké zosobnění či znovupoužití, dokud dotčené přihlašovací údaje neexpirují či nejsou vyměněny.