Kerberos时间戳

Question

任何人都可以请解释Kerberos中的时间戳如何防止重放攻击？

感谢

Answer 1

它并不完全防止重放攻击，但它可以确保重播必须认证的几分钟之内发生。如果您尝试在几小时后重播身份验证握手，它将失败，因为服务器知道时间戳已过时。

Answer 2

此外，重放缓存中还包含最近2分钟内到达的验证器，如果它们出现则拒绝它们。更多详情，请查看http://www.kerberos.org/software/tutorial.html重放高速缓存部分

Answer 3

“Kerberos身份验证防止重放攻击通过使用两种机制：

在本地计算机上的Kerberos客户端加密认证中的时间戳，然后将其发送给钥匙分发中心（KDC）：如果KDC验证其从认证者解密的时间在KDC本地时间的指定数量内（默认为五分钟），则系统可以认为所提供的凭证是真实的。

KDC发出的所有门票都有到期时间，因此，如果门票受到损害，则不能使用门票特定时间范围内的电子邮件通常足够短以使重放攻击的风险最小化。

由于这些机制，Kerberos身份验证依赖于在KDC和客户端上设置的日期和时间。如果没有太大的KDC和客户端请求的门票之间的时间差，在KDC不能确定该请求是否合法重播“

来源：https://technet.microsoft.com/en-us/library/cc780011%28v=ws.10%29.aspx

这就是为什么让你的时钟同步是如此很重要 - 您收到的Kerberos TGT门票是一个有时间限制的优惠，提供的时间限制从时间戳中指定的时间开始，让时间错误是您可以犯下的最严重的罪行，这就是为什么Kerberos坚持要求让你的时钟同步。