2.3. Tickets renouvelables

2.3. Tickets renouvelables

Objectif

Les applications peuvent souhaiter détenir des tickets qui peuvent être valides pendant de longues périodes. Cependant, cela peut exposer leurs credentials à un vol potentiel pendant des périodes également longues. Les tickets renouvelables peuvent être utilisés pour atténuer les conséquences du vol.

Fonctionnement des tickets renouvelables

Deux temps d'expiration

Les tickets renouvelables ont deux "temps d'expiration":

1. Première expiration: Quand l'instance actuelle du ticket expire
2. Seconde expiration: La dernière valeur permissible pour un temps d'expiration individuel

Processus de renouvellement

1. Le client d'application doit périodiquement (avant qu'il n'expire) présenter un ticket renouvelable au KDC
2. Définir l'option RENEW dans la demande KDC
3. Le KDC émet un nouveau ticket avec:
   • Une nouvelle clé de session
   • Un temps d'expiration ultérieur
   • Tous les autres champs laissés non modifiés

Fonctionnalités de sécurité

• Lorsque le dernier temps d'expiration permissible arrive, le ticket expire définitivement
• À chaque renouvellement, le KDC PEUT consulter une liste noire (hot-list) pour déterminer si le ticket a été signalé comme volé depuis son dernier renouvellement
• Le KDC refusera de renouveler les tickets volés
• La durée de vie utilisable des tickets volés est réduite

Interprétation du drapeau RENEWABLE

Le drapeau RENEWABLE dans un ticket est:

• Normalement uniquement interprété par le service d'octroi de tickets (section 3.3)
• Peut généralement être ignoré par les serveurs d'application
• Cependant, certains serveurs d'application particulièrement prudents PEUVENT interdire les tickets renouvelables

Configuration

• Si un ticket renouvelable n'est pas renouvelé avant son temps d'expiration, le KDC ne renouvellera pas le ticket
• Le drapeau RENEWABLE est réinitialisé par défaut
• Un client PEUT demander qu'il soit défini en définissant l'option RENEWABLE dans le message KRB_AS_REQ
• S'il est défini, le champ renew-till dans le ticket contient le temps après lequel le ticket ne peut plus être renouvelé