Définition simple
Kerberos permet à un utilisateur authentifié d’accéder à plusieurs services sans renvoyer son mot de passe à chaque fois.
Définition technique
Le centre de distribution de clés délivre un Ticket Granting Ticket, puis des tickets de service. Le protocole dépend fortement du DNS, des noms de service et de la synchronisation de l’heure.
- Utilisateur Ouvre une session
- KDC / AD Valide et remet un TGT
- Ticket de service Obtenu via le TGT
- Service cible Contrôle le ticket
Le KDC gère les tickets. Kerberos dépend notamment des SPN, du DNS et de la synchronisation horaire ; le service applique ses propres autorisations.
À quoi cela sert ?
Authentification intégrée Windows et accès sécurisé aux ressources d’un domaine.
Exemple concret
Après l’ouverture de session, l’utilisateur accède à un partage de fichiers grâce à un ticket Kerberos.
Problèmes fréquents
- Décalage horaire trop important
- SPN absent ou dupliqué
- DNS incorrect
- Retour involontaire vers NTLM
TGT, ticket de service et KDC : les trois notions clés
Kerberos repose sur une autorité appelée KDC (Key Distribution Center), généralement fournie par les contrôleurs de domaine Active Directory. Après une authentification réussie, le client obtient un Ticket Granting Ticket (TGT) auprès du service d’authentification (AS). Il présente ensuite ce TGT au service de délivrance des tickets (TGS) pour obtenir un ticket destiné à un service précis : partage SMB, application web ou autre service compatible. Ce ticket est présenté au serveur cible, qui peut en vérifier la validité et l’identité du service.
Cette organisation réduit le besoin de transmettre le mot de passe aux serveurs applicatifs. Elle ne signifie pas pour autant qu’un ticket donne tous les droits : les permissions sur les fichiers et les applications restent vérifiées séparément.
Pourquoi DNS, SPN et horloge sont déterminants
- DNS permet au poste de localiser les contrôleurs de domaine et de trouver les services nécessaires à l’authentification.
- Le SPN (Service Principal Name) identifie le service auquel le client veut accéder ; un SPN absent ou dupliqué peut empêcher l’obtention du bon ticket.
- Les tickets sont limités dans le temps. Un décalage horaire excessif entre les machines provoque des refus de connexion.
- La résolution d’un serveur par alias, son compte de service ou un mauvais enregistrement DNS peut modifier le SPN recherché.
- Dans un domaine AD, certains tickets intègrent des informations d’autorisation, notamment via le PAC, sans remplacer les contrôles du serveur.
SSO, sécurité et confusion avec NTLM
Kerberos participe à l’authentification unique (SSO) : une ouverture de session peut permettre l’accès à plusieurs applications intégrées au domaine sans redemander le mot de passe. Il utilise des clés et des tickets plutôt qu’un simple échange de mot de passe. Il faut néanmoins protéger les contrôleurs de domaine, les comptes de service et les tickets présents sur les postes.
NTLM est un autre mécanisme d’authentification Windows : il peut être utilisé en repli dans certaines configurations, mais ce n’est ni la même négociation ni le même modèle de tickets. Une erreur Kerberos peut venir d’un problème de nom de service ou de temps, pas nécessairement d’un mauvais mot de passe.
Termes associés
Concepts associés
À retenir : Kerberos obtient un TGT puis des tickets de service ; DNS, SPN, horloges et droits sur le service conditionnent le résultat.