Kerberos

Kerberos 1980'lerde MIT'de geliştirildi; güncel sürümü Kerberos 5, RFC 4120'de tanımlanır. Bir ağdaki kullanıcıların ve servislerin, güvenilir bir üçüncü taraf olan Anahtar Dağıtım Merkezi (Key Distribution Center, KDC) aracılığıyla kimliklerini birbirlerine kanıtlamasını sağlar. Adını Yunan mitolojisindeki üç başlı bekçi köpeği Kerberos'tan alır; üç baş, işin içindeki üç tarafa karşılık gelir: istemci, sunucu ve KDC.

Oturum açtığınızda bilgisayarınız, parolanın kendisini göndermeden onu bildiğinizi KDC'ye kanıtlar ve bir ticket-granting ticket (TGT), yani bilet almaya yarayan bir bilet alır. Ardından bir dosya paylaşımını, bir intranet sitesini ya da bir veritabanını her açtığınızda bilgisayarınız TGT'yi KDC'ye gösterir ve yalnızca o sunucu için geçerli bir servis bileti alır; sunucu bu bileti kendi gizli anahtarıyla doğrular. Biletler simetrik anahtarlarla şifrelenir, zaman damgası taşır ve belirli bir süre sonra, Active Directory'de varsayılan olarak 10 saat sonra geçersiz olur.

Bir eğlence parkı gibi çalışır: ana girişte kimliğinizi bir kez gösterip günlük bir giriş kartı alırsınız, sonra her oyuncakta bu kartı o oyuncağın biletiyle değiştirirsiniz ve hiçbir görevli kimliğinizi görmez. Bir Windows etki alanındaki (domain) çalışanların sabah bir kez oturum açıp gün boyunca parolalarını yeniden yazmadan iç sunuculara erişebilmesinin nedeni budur. Microsoft Active Directory, Windows 2000'den beri varsayılan oturum açma protokolü olarak Kerberos'u kullanır; Kerberos, Linux ve Unix ağlarında da yaygındır.

Active Directory ikisini de kullandığı için Kerberos sıklıkla LDAP ile karıştırılır. Kerberos bilet vererek "Siz kimsiniz?" sorusunu yanıtlar; LDAP ise bir kullanıcının e-posta adresi ve grup üyelikleri gibi dizin bilgilerini okumaya yarayan protokoldür. Kerberos, SAML ve OpenID Connect'ten de farklıdır: en iyi şirket ağının içinde çalışır; bu standartlar ise tarayıcı üzerinden web ve bulut uygulamalarına tek oturum açma (SSO) getirir.