kerberos - kerberos 只加密身份验证还是所有客户端通信？

Question

kerberos 只加密身份验证过程还是所有客户端通信？

我的印象是它就像 LAN 的 VPN。

以便所有 LAN 通信都被加密。就像所有互联网通信都通过 VPN 加密一样。

问候奥布里

Answer 1

Kerberos 非常有能力加密客户端和服务器之间的流量，但具体取决于应用程序中如何使用 kerberos，它可能会也可能不会使用 kerberos session key 来加密流量。

kerberos 协议(protocol)提供了交换 session key 的方法，该 session key 可用于在初始身份验证交换后加密消息流量。加密消息交换通常是实际使用 GSSAPI 的协议(protocol)的默认设置。请参阅gss_wrap documentation

GSSAPI 是用于执行安全网络应用程序的通用 API。 Kerberos 是 GSSAPI 下最常用的驱动程序。

如果应用程序不使用 GSSAPI 或 native kerberos 消息传递库，则它可能使用 TLS 来加密流量或流量未加密。

Kerberos 消息加密旨在支持相对较长生命周期的基于 TCP 的客户端/服务器应用程序(例如 telnet 或 ssh)。 API 并不总是能够很好地映射到当前应用程序的架构方式。 Kerberos 支持通常在应用程序构建后就固定好并且仅用于身份验证。