1.3. Choosing a Principal with Which to Communicate (Auswahl eines Principals für die Kommunikation)

1.3. Choosing a Principal with Which to Communicate (Auswahl eines Principals für die Kommunikation)

Das Kerberos-Protokoll bietet die Mittel zur Überprüfung (vorbehaltlich der Annahmen in Abschnitt 1.6), dass die Entität, mit der man kommuniziert, dieselbe Entität ist, die beim KDC unter Verwendung der behaupteten Identität (Principal-Name) registriert wurde. Es ist dennoch notwendig zu bestimmen, ob diese Identität der Entität entspricht, mit der man kommunizieren möchte.

Wenn entsprechende Daten im Voraus ausgetauscht wurden, kann die Anwendung diese Bestimmung syntaktisch basierend auf der Anwendungsprotokollspezifikation, von Benutzern bereitgestellten Informationen und Konfigurationsdateien durchführen. Beispielsweise könnte der Server-Principal-Name (einschließlich Realm) für einen Telnet-Server aus dem vom Benutzer angegebenen Hostnamen (von der Telnet-Befehlszeile), dem in der Anwendungsprotokollspezifikation angegebenen "host/"-Präfix und einer Zuordnung zu einem Kerberos-Realm abgeleitet werden, die syntaktisch aus dem Domain-Teil des angegebenen Hostnamens und Informationen aus der lokalen Kerberos-Realms-Datenbank abgeleitet wird.

Man kann sich auch auf vertrauenswürdige Dritte verlassen, um diese Bestimmung vorzunehmen. Zum Beispiel könnten Authentifizierungsproxies in Verbindung mit gesicherten Namensauflösungsdiensten verwendet werden, um eine sichere Zuordnung zwischen den Namen in der gesicherten Namensauflösung und den entsprechenden Kerberos-Principal-Namen bereitzustellen.

Verteilte Authentifizierungsdienste wie Kerberos können nicht verhindern, dass Anwendungen das empfangene Ticket mit dem beabsichtigten Ziel vergleichen. Es ist unbedingt erforderlich, dass Anwendungsserver ordnungsgemäß den Principal-Namen im Ticket überprüfen und ihn mit den tatsächlich beabsichtigten Zielnamen vergleichen.