Używa kryptografii symetrycznej, aby użytkownik mógł korzystać z wielu uczestniczących usług bez wysyłania hasła do każdej z nich. Kerberos w wersji 5 jest specyfikowany przez IETF.
Klient najpierw uzyskuje bilet przyznający bilety (ticket-granting ticket, TGT) od usługi uwierzytelniającej KDC. Następnie prezentuje ten bilet usłudze przyznawania biletów, aby uzyskać bilet usługowy dla konkretnego podmiotu usługi (service principal). Klient prezentuje bilet usługowy i świeży uwierzytelnik usłudze, która może również dowieść swojej tożsamości klientowi. Bilety i klucze sesji są trzymane w pamięci podręcznej poświadczeń do wygaśnięcia lub usunięcia.
Najważniejsze punkty
Model zaufaniaDefiniuj realm-y, podmioty (principals), nazwy usług, relacje między realm-ami, KDC i klucze długoterminowe; błąd nazewnictwa lub zarządzania kluczami może przekierować lub przerwać uwierzytelnianie.
Ochrona biletówUżywaj aktualnych typów szyfrowania i pre-uwierzytelniania, ograniczaj czas życia biletów i delegację, chroń keytaby i pamięci podręczne poświadczeń oraz niszcz bilety, gdy przestaną być potrzebne.
Zależność operacyjnaUtrzymuj dokładny czas, odporną usługę KDC, kontrolowaną rotację kluczy, chronioną administrację i logi potrafiące odróżnić wydanie od późniejszego użycia usługi.
Istotne ograniczenieKerberos uwierzytelnia podmioty, ale nie decyduje, co uwierzytelniony podmiot może robić. Skompromitowane KDC, klucz usługi, punkt końcowy lub pamięć podręczna biletów mogą umożliwić szerokie podszywanie się lub ponowne użycie, dopóki dotknięte poświadczenia nie wygasną lub nie zostaną wymienione.