Folosește criptografie simetrică, astfel încât un utilizator să poată accesa mai multe servicii participante fără a trimite parola utilizatorului fiecărui serviciu. Kerberos Versiunea 5 este specificată de IETF.
Clientul obține mai întâi un tichet de acordare de tichete de la serviciul de autentificare al KDC. Apoi prezintă acel tichet serviciului de acordare de tichete pentru a obține un tichet de serviciu pentru un anumit principal de serviciu. Clientul prezintă tichetul de serviciu și un autentificator proaspăt serviciului, care își poate dovedi și identitatea clientului. Tichetele și cheile de sesiune sunt păstrate într-un cache de credențiale până la expirare sau eliminare.
Puncte esențiale
Modelul de încredereDefiniți tărâmurile, principalii, numele de servicii, relațiile între tărâmuri, KDC-urile și cheile pe termen lung; o eroare de denumire sau gestionare a cheilor poate redirecționa sau rupe autentificarea.
Protecția tichetelorFolosiți tipuri de criptare curente și pre-autentificare, restricționați durata de viață și delegarea tichetelor, protejați keytab-urile și cache-urile de credențiale și distrugeți tichetele când nu mai sunt necesare.
Dependență operaționalăMențineți timp precis, serviciu KDC rezilient, rotire controlată a cheilor, administrare protejată și jurnale care pot distinge emiterea de utilizarea ulterioară a serviciului.
Limitare importantăKerberos autentifică principalii, dar nu decide ce poate face un principal autentificat. Un KDC, o cheie de serviciu, un endpoint sau un cache de tichete compromis poate permite impersonare sau reutilizare largă până când credențialele afectate expiră sau sunt înlocuite.