2.3. Renewable Tickets (Erneuerbare Tickets)
2.3. Renewable Tickets (Erneuerbare Tickets)
Anwendungen können den Wunsch haben, Tickets zu halten, die für lange Zeiträume gültig sein können. Dies kann jedoch ihre Credentials einem potentiellen Diebstahl für ebenso lange Zeiträume aussetzen, und diese gestohlenen Credentials wären bis zur Ablaufzeit des/der Ticket(s) gültig. Die einfache Verwendung kurzlebiger Tickets und das periodische Erhalten neuer Tickets würde erfordern, dass der Client langfristigen Zugriff auf seinen geheimen Schlüssel hat, ein noch größeres Risiko. Erneuerbare Tickets können verwendet werden, um die Konsequenzen eines Diebstahls zu mildern. Erneuerbare Tickets haben zwei "Ablaufzeiten": die erste ist, wenn die aktuelle Instanz des Tickets abläuft, und die zweite ist der späteste zulässige Wert für eine individuelle Ablaufzeit. Ein Anwendungsclient muss periodisch (d.h. bevor es abläuft) ein erneuerbares Ticket dem KDC präsentieren, mit der in der KDC-Anfrage gesetzten RENEW-Option. Der KDC wird ein neues Ticket mit einem neuen Session Key und einer späteren Ablaufzeit ausstellen. Alle anderen Felder des Tickets werden durch den Erneuerungsprozess unverändert gelassen. Wenn die späteste zulässige Ablaufzeit eintritt, läuft das Ticket dauerhaft ab. Bei jeder Erneuerung KANN der KDC eine Hot-List konsultieren, um festzustellen, ob das Ticket seit seiner letzten Erneuerung als gestohlen gemeldet wurde; er wird die Erneuerung gestohlener Tickets ablehnen, und somit wird die nutzbare Lebensdauer gestohlener Tickets reduziert.
Das RENEWABLE-Flag in einem Ticket wird normalerweise nur vom Ticket-Granting Service interpretiert (unten in Abschnitt 3.3 diskutiert). Es kann normalerweise von Anwendungsservern ignoriert werden. Einige besonders vorsichtige Anwendungsserver KÖNNEN jedoch erneuerbare Tickets ablehnen.
Wenn ein erneuerbares Ticket nicht bis zu seiner Ablaufzeit erneuert wird, wird der KDC das Ticket nicht erneuern. Das RENEWABLE-Flag wird standardmäßig zurückgesetzt, aber ein Client KANN anfordern, dass es gesetzt wird, indem er die RENEWABLE-Option in der KRB_AS_REQ-Nachricht setzt. Wenn es gesetzt ist, enthält das Feld renew-till im Ticket die Zeit, nach der das Ticket nicht mehr erneuert werden darf.