1.5 - Acesso a serviços em uma rede

Sempre que um usuário tentar acessar um serviço na rede, o cliente Kerberos enviará para o TGS o TGT que foi gerado pelo serviço de autenticação (KDS). O TGS vai gerar um ticket para o serviço em particular que será utilizado pelo cliente.

Esse funcionamento é detalhado nos passos abaixo, que explicam o funcionamento do protocolo nessa situação:

Ao tentar acessar um serviço em um servidor, o cliente Kerberos envia duas mensagens ao TGS.

De posse das mensagens C e D, o servidor TGS tentará recuperar o TGT da Mensagem B a partir da mensagem C. Ele vai decifrar a mensagem B utilizando a Chave de Sessão TGS (K2) que ele gerou nos passos anteriores. Isso vai produzir uma Chave de Sessão TGS (k2), que foi informada pelo cliente, a qual ele vai comparar com sua Chave de Sessão TG (K2) que ele possui associada ao cliente. Após isso, ele decifrará a mensagem D e, se tudo tiver acontecido de forma correta, ele enviará ao cliente:

De posse das mensagens E e F geradas pelo TGS, o cliente encaminha essas informações para o servidor responsável pelo serviço em que o usuário está tentando acesso, enviando as mensagens:

O servidor do serviço decifra o ticket utilizando sua própria chave secreta e recupera a Chave de Sessão Cliente/Servidor (K3). Usando a chave de sessão K3, ele decifra a mensagem G e confirma a veracidade do processo de autenticação. Se tudo tiver acontecido corretamente, o servidor do serviço enviará uma mensagem para o cliente, confirmando sua identidade e o período de validade informado pelo cliente na mensagem G, acrescido de 1.
O cliente, ao receber essa mensagem do servidor, verifica a autenticidade da mensagem decifrando-a com a Chave de Sessão Cliente/Servidor (K3) e, também, se a hora está atualizada corretamente. Após esse processo, é iniciado então o acesso ao serviço solicitado.

a.1) Mensagem C

Composta pelo TGT informado na Mensagem B do item anterior e o identificador do serviço que está sendo requisitado.

a.2) Mensagem D

Autenticador, composto pelo identificador do cliente e de um período de validade cifrado com a Chave de Sessão TGS do cliente (K2).

b.1) Mensagem E

Ticket Client-to-Server, que inclui o Identificador do Cliente, o endereço de rede do cliente, um período de validade para a Session Key entre o cliente e o servidor (K3), tudo cifrado, utilizando a chave secreta gerada para o serviço (k2).

b.2) Mensagem F

Chave Secreta entre cliente e servidor (k3) cifrada utilizando a chave TGS gerada para o cliente.

c.1) Mensagem E

Gerada no passo anterior, contendo o Ticket Client-to-Server cifrado utilizando a chave Secreta do Serviço (K3).

c.2) Mensagem G

Uma nova mensagem de autenticação, incluindo o identificador do cliente e um período de validade. Todas essas informações cifradas, utilizando a chave de sessão K3.