Kerberos時間戳

Question

任何人都可以請解釋Kerberos中的時間戳如何防止重放攻擊？

感謝

Answer 1

它並不完全防止重放攻擊，但它可以確保重播必須認證的幾分鐘之內發生。如果您嘗試在幾小時後重播身份驗證握手，它將失敗，因爲服務器知道時間戳已過時。

Answer 2

此外，重放緩存中還包含最近2分鐘內到達的驗證器，如果它們出現則拒絕它們。更多詳情，請查看http://www.kerberos.org/software/tutorial.html重放高速緩存部分

Answer 3

「Kerberos身份驗證防止重放攻擊通過使用兩種機制：

在本地計算機上的Kerberos客戶端加密認證中的時間戳，然後將其發送給鑰匙分發中心（KDC）：如果KDC驗證其從認證者解密的時間在KDC本地時間的指定數量內（默認爲五分鐘），則系統可以認爲所提供的憑證是真實的。

KDC發出的所有門票都有到期時間，因此，如果門票受到損害，則不能使用門票特定時間範圍內的電子郵件通常足夠短以使重放攻擊的風險最小化。

由於這些機制，Kerberos身份驗證依賴於在KDC和客戶端上設置的日期和時間。如果沒有太大的KDC和客戶端請求的門票之間的時間差，在KDC不能確定該請求是否合法重播「

來源：https://technet.microsoft.com/en-us/library/cc780011%28v=ws.10%29.aspx

這就是爲什麼讓你的時鐘同步是如此很重要 - 您收到的Kerberos TGT門票是一個有時間限制的優惠，提供的時間限制從時間戳中指定的時間開始，讓時間錯誤是您可以犯下的最嚴重的罪行，這就是爲什麼Kerberos堅持要求讓你的時鐘同步。