Terminologie Kerberos

Comme tout système, Kerberos dispose de sa propre terminologie. Avant d'évoquer la manière dont il fonctionne, voici une liste des termes avec lesquels vous devrez vous familiariser :

• Ciphertext — données cryptées.

• Client — entité sur le réseau (utilisateur, hôte ou application) pouvant obtenir un ticket Kerberos.

• Cache de certificat d'identité ou fichier de ticket — fichier contenant les clés nécessaires au cryptage des communications entre un utilisateur et divers services réseau. Kerberos 5 fournit un cadre permettant d'utiliser d'autres types de cache (par exemple, une mémoire partagée), mais les fichiers sont mieux pris en charge.

• Clé — bloc de données utilisé pour le cryptage et le décryptage de données. Il est impossible de décrypter des données cryptées sans disposer de la clé appropriée, à moins d'être un génie en devinettes.

• Key Distribution Center (centre distributeur de tickets) ou KDC — ordinateur émettant des tickets Kerberos (parfois appelé Ticket Granting Server ou TGS).

• Keytab — abréviation de key table (table de clés), fichier contenant une liste cryptée des principaux et de leurs clés respectives. Les serveurs extraient les clés dont ils ont besoin des fichiers keytab au lieu d'utiliser kinit. Le fichier keytab par défaut /etc/krb5.keytab est, avec kadmind le seul service connu utilisant n'importe quel autre fichier (il utilise /var/kerberos/krb5kdc/kadm5.keytab).

• Texte en clair — données cryptées.

• Principal — utilisateur ou service pouvant effectuer une authentification à l'aide de Kerberos. Un nom de principal a la forme " root[/instance]@REALM". Pour un utilisateur ordinaire, root correspond à l'ID de connexion. L'instance est facultative. Si le principal a une instance, il est séparé du root par une barre oblique ("/"). La chaîne vide ("") est une instance valide (qui diffère de l'instance NULL par défaut) mais son utilisation peut être source de confusion. Tous les éléments principaux d'une zone ont leur propre clé, dérivée de leur mot de passe (pour les utilisateurs) ou définie de façon aléatoire (pour les services).

• Zone (realm) — réseau utilisant Kerberos, composé d'un ou plusieurs serveurs (également appelés KDC) et d'un certain nombre (potentiellement très important) de clients.

• Service — programme ou ordinateur accessible via le réseau.

• Ticket — ensemble temporaire de certificats d'identité électroniques indiquant l'identité d'un client pour un service particulier.

• Ticket Granting Ticket (TGT) — ticket spécial permettant au client d'obtenir des tickets supplémentaires sans les demander au KDC.