『Kerberosの使用例』 初出 1997-07-10 『インターネット経由で...』 計算力学研究センター 技術開発部 桑村 潤 レルムASTEA.CO.JPのマシンearthにアクセスする例ですが、ここに書かれて いるレルムやホストの名は仮想のものです。 (0) まず、Kerberosサーバにクライアントのプリンシパルの記載を管理者 にしてもらいます。そして、Kerberos化されたtelnetなどを含むキット を自分の端末にインストールしておきます。この例は、KTH-KRB *1) と いう Kerberos4 を利用して行なった手順をもとに説明をしてあります。 *1) http://www.pdc.kth.se/kth-krb/ (1) TCP/IP のコネクションの確立 契約しているインターネット・プロバイダと自分のマシンとの間で TCP/IP の PPP 接続を行ないます。 (2) 発券許可証（チケット-グランティング・チケット）の取得 まず、kauth を使って発券許可証を取得します。kauth はパスワードを暗号 化したキーを提示して KDC からチケットをもらいます。レルム ASTEA.CO.JPに おける発券許可証が自分側のピアーと ASTEA 側のピアーとの双方に得られます。 111 juk@penty ~> kauth -n juk <- *2) juk@ASTEA.CO.JP's Password: ******** <- 112 juk@penty ~> klist <- Ticket file: /tmp/tkt1037 Principal: juk@ASTEA.CO.JP Issued Expires Principal May 4 00:43:23 May 4 10:43:23 krbtgt.ASTEA.CO.JP@ASTEA.CO.JP *2) -h earth.astea.co.jp とホスト指定をすると指定されたホスト上にもチケット が取得されます。 (3) ケルベロス化 telnet による暗号化セッションの確立 次に、ケルベロス化された telnet を使って、ピアー間で暗号化セッション を確立します。ここで、ASTEA 側のピアーの TCP ポートが通常の telnet のポー トと異なる 7723 であることに注意して下さい。この telnet の実装では暗号 化セッションのオプションは -x です。このオプションによるログインが成功 すると、暗号化セッションが確立されセッション中に入力するデータがすべて 暗号化されてネットワークを流れます。したがって、社内のマシンにログイン するためのパスワードを安全に入力できるわけです。 ただし、現行では並行して、OTP（One Time Password）のテストを行なって いるため、ケルベロスによる認証が失敗すると OTP あるいは通常のパスワー ドの入力を求めてきますので注意が必要です。もしこの時点で、パスワードを 聞いてきたら ^D で telnet を終了させて下さい。通常の telnet コマンドを 利用した場合も同様です。 11 juk@penty ~> ./telnet -x earth.astea.co.jp 7723 <- Encryption is verbose Trying 192.168.200.6... Connected to earth.astea.co.jp. Escape character is '^]'. [ Trying mutual KERBEROS4 ... ] [ Kerberos V4 accepts you ] [ Kerberos V4 challenge successful ] [ Input is now decrypted with type DES_CFB64 ] [ Output is now encrypted with type DES_CFB64 ] Last login: Sun May 4 00:45:24 from 192.168.100.136 Linux 2.0. earth:~$ earth:~$ exit <- logout Connection closed by foreign host. 12 juk@penty ~> (4) インターネット・プロバイダとの接続を終了 他に用がなければ、インターネット・プロバイダと自分のマシンとの間の 接続を切断します。