傳遞Kerberos（TGT）票證授予票證。雙跳實施是否安全？

Question

爲什麼在機器之間（甚至跨網絡）通過Kerberos TGT？這難道不是在傳遞一個私鑰嗎？（這對安全領域是非常不滿的）？

到目前爲止，我所讀到的唯一保護措施是，它有一定的時間長度以保證有效。

請回答爲什麼通過一個TGT是可以的，並且傳遞一個私鑰不是。請假設我明白所有內容都將通過SSL/TLS傳輸，並且這些敏感數據在休息時都會被加密。

Answer 1

傳遞TGT就像在SSL/TLS通道上傳遞sessionId，而不是通過開放網絡傳遞私鑰:)。這是安全的。 TGT內容已加密，只能由收件人收件人閱讀。

Answer 2

除非我遺漏了一些東西，否則客戶端不會傳遞TGT：TGT是客戶端通過身份驗證服務（AS）驗證後接收的內容。

當客戶想要連接到遠程服務器/服務時，它將TGT作爲更大請求的一部分發送給票務授權服務（TGS），票據授予服務（TGS）然後將票據交還給遠程服務器/服務將能夠用自己的TGT解密。所以除非你在談論客戶端和TGS之間，我不相信TGT在客戶端和服務器之間傳遞。

下面是一些文檔：http://msdn.microsoft.com/en-us/library/windows/desktop/aa378170%28v=vs.85%29.aspx