Glossaire

authentificateur

Les authentificateurs sont transmis par les clients lorsqu'ils demandent des tickets (à un KDC) et des services (à un serveur). Ces authentificateurs contiennent des renseignements, générés par une clé de session connue seulement du client et du serveur, dont l'origine récente peut être prouvée, indiquant ainsi que la transaction est sécurisée. Utilisé de concert avec un ticket, l'authentificateur permet d'authentifier le principal d'utilisateur. Un authentificateur contient le nom de principal et l'adresse IP de l'hôte de l'utilisateur, ainsi qu'un horodatage. Contrairement au ticket, l'authentificateur ne peut servir qu'une seule fois, habituellement lorsque l'accès à un service est demandé. Le chiffrement de l'authentificateur s'effectue à l'aide de la clé de session du client et du serveur concernés.

authentification

Processus de vérification de l'identité déclarée par un principal.

autorisation

Processus permettant de déterminer le service que peut utiliser un principal, les objets auxquels il peut accéder et le type d'accès autorisé pour chacun.

cache des justificatifs d'identité

Espace de stockage (en règle générale, un fichier) contenant les justificatifs d'identité reçus du KDC

chiffrement de clé privée

Dans le cas du chiffrement de clé privée, l'expéditeur et le destinataire utilisent la même clé de chiffrement. Voir aussi chiffrement de clé publique.

chiffrement de clé publique

Modèle de chiffrement où chaque client possède deux clés, l'une publique et l'autre privée. Dans le cas du chiffrement de clé publique, l'expéditeur chiffre le message à l'aide de la clé publique du destinataire, et ce dernier se sert d'une clé privée pour le déchiffrer. SEAM est un système à clés privées. Voir aussi chiffrement de clé privée.

clé

1. Entrée (nom de principal) d'une table de clés. (Voir table de clés.)

2. Clé de chiffrement de trois types :

   1. Clé privée. Il s'agit d'une clé de chiffrement partagée entre le principal et le KDC et distribuée à l'extérieur des limites du système. Voir aussi clé privée.

   2. Clé de service. Cette clé a la même fonction que la clé privée, mais ce sont les serveurs et les services qui l'utilisent. Voir aussi clé de service.

   3. Clé de session. Il s'agit d'une clé de chiffrement temporaire que se partagent deux principaux, mais dont la durée de vie se limite à la durée d'une session à connexion unique. Voir aussi clé de session.

clé de service

Clé de chiffrement partagée par un principal de service et le KDC, et distribuée en dehors des limites du système. Voir aussi clé.

clé de session

Clé générée par le service d'authentification ou par le service d'octroi de tickets. Une clé de session est générée dans le but de sécuriser les transactions entre un client et un service. Sa durée de vie se limite à une session à connexion unique. Voir aussi clé.

clé privée

Chaque principal d'utilisateur reçoit une clé qui n'est connue que du KDC et de l'utilisateur du principal. Le mot de passe de l'utilisateur détermine la composition d'une telle clé de principal d'utilisateur. Voir aussi clé.

clé secrète

Voir clé privée.

client

• À strictement parler, il s'agit d'un processus faisant appel à un service de réseau pour un utilisateur ; par exemple, une application utilisant rlogin. Dans certains cas, un serveur peut être lui-même le client d'un autre serveur ou service.

• Au sens large, il s'agit d'un hôte a) recevant un justificatif d'identité Kerberos et b) faisant appel à un service fourni par un serveur.

De manière moins formelle, il s'agit d'un principal faisant appel à un service.

confidentialité

Service de sécurité, par l'intermédiaire duquel les données transmises sont chiffrées avant leur envoi. La confidentialité inclut également l'intégrité des données et l'authentification de l'utilisateur. Voir aussi authentification, intégrité et service.

écart d'horloge

L'écart maximum toléré entre les horloges système des différents hôtes participant au système d'authentification Kerberos. Les demandes sont rejetées lorsque la limite d'écart d'horloge est dépassée par l'un ou l'autre des hôtes participants. Cet écart d'horloge est précisé dans le fichier krb5.conf.

fichier de réserve

Un fichier de réserve contient une copie chiffrée de la clé maîtresse du KDC. Cette clé intervient au moment de la réinitialisation du serveur, afin d'authentifier automatiquement le KDC avant de démarrer les processus kadmind et krb5kdc. Étant donné que ce fichier contient la clé maîtresse, il est important de le conserver avec ses copies de sauvegarde de façon sécuritaire. Si l'intégrité du chiffrement était compromise, cette clé pourrait permettre d'accéder à la base de données KDC et de la modifier.

fichier de tickets

Voir cache des justificatifs d'identité.

FQDN

Abréviation de «Fully Qualified Domain Name» (nom de domaine entièrement qualifié). Par exemple, denver.mtn.acme.com (par opposition à denver).

GSS-API

Abréviation de «Generic Security Service Application Programming Interface» (interface de programmation d'application de sécurité générique). Il s'agit d'une couche réseau capable de prendre en charge divers services de sécurité modulaires (y compris SEAM). GSS-API assure l'authentification de la sécurité et les services d'intégrité et de confidentialité. Voir aussi authentification, intégrité et confidentialité.

hôte

Ordinateur auquel on peut accéder par l'intermédiaire d'un réseau.

hôte principal

Instance particulière d'un principal de service dans lequel le principal (désigné par le nom primaire host) est configuré de manière à fournir un éventail de services réseau, comme ftp, rcp ou rlogin. hôte/montreal.fra.acme.com@FRA.ACME.COM est un exemple de principal d'hôte. Voir aussi principal de serveur.

instance

La seconde partie du nom d'un principal est une instance qualifiant le primaire d'un principal. Dans le cas d'un principal de service, l'instance est obligatoire et correspond au nom de domaine entièrement qualifié de l'hôte, comme dans host/montreal.fra.acme.com. En ce qui concerne le principal d'utilisateur, l'instance est facultative ; veuillez noter toutefois que jean et jean/admin sont des principaux distincts. Voir aussi nom de principal, principal de service et principal d'utilisateur.

intégrité

Service de sécurité qui, en plus de l'authentification de l'utilisateur, assure la validité des données transmises par l'intermédiaire de sommes de contrôle chiffrées. Voir aussi authentification et confidentialité.

justificatif d'identité

Ensemble de renseignements comprenant un ticket et une clé de session correspondante. Sert à authentifier l'identité du principal. Voir aussi ticket et clé de session.

KDC

Abréviation de «Key Distribution Center» (centre de distribution de clés). Il s'agit d'un ordinateur doté de trois composants Kerberos V5 :

• Principal et base de données de clés

• Service d'authentification

• Service d'octroi de tickets

Chaque secteur possède un KDC maître en plus d'au moins un KDC esclave.

KDC esclave

Copie du KDC maître, capable d'exécuter la plupart des fonctions du maître. Chaque secteur possède habituellement plusieurs KDC esclaves (mais un seul KDC maître). Voir aussi KDC et KDC maître.

KDC maître

KDC maître de chaque secteur, y compris un serveur d'administration Kerberos, kadmind et un démon d'authentification et d'octroi de tickets, krb5kdc. Chaque secteur doit posséder au moins un KDC maître, en plus d'au moins un KDC en double, ou esclave, fournissant les services d'authentification auprès des clients.

Kerberos

Service d'authentification, protocole utilisé par ce service ou code servant à mettre en oeuvre ce service.

SEAM constitue une mise en oeuvre de l'authentification étroitement liée à Kerberos V5.

Bien qu'en principe les termes "SEAM" et "Kerberos" soient différents, la documentation SEAM les utilise la plupart du temps sans distinction ; il en va de même pour les termes "Kerberos" et "Kerberos V5."

Dans la mythologie grecque, Kerberos (en français Cerbère) était un chien tricéphale féroce qui gardait la porte des Enfers.

kvno

Numéro de version de clé. Il s'agit d'un numéro de série faisant le suivi d'une clé particulière selon l'ordre dans lequel elle a été générée. Le numéro de version de clé le plus élevé représente la dernière clé en cours.

mécanisme

Progiciel déterminant les techniques de chiffrement afin d'assurer l'authentification ou la confidentialité des données. Exemples : Kerberos V5, clé publique Diffie-Hellman.

mécanisme de sécurité

Voir mécanisme.

nom de principal

1. Nom d'un principal dont le format est primaire/instance@SECTEUR. Voir aussi instance, primaire et secteur.

2. (RPCSEC_GSS API) Voir principal de client et principal de serveur.

NTP

Abréviation de «Network Time Protocol» (protocole de distribution de l'heure). Logiciel créé par l'Université du Delaware, permettant de gérer avec précision l'heure et la date ainsi que la synchronisation des horloges de réseau dans un environnement réseau. NTP permet de préserver l'écart d'horloge dans un environnement Kerberos.

PAM

Abréviation de «Pluggable Authentication Module» (module d'authentification enfichable). Structure permettant d'utiliser plusieurs mécanismes d'authentification sans recompilation des services recourant à ces mécanismes. PAM permet l'initialisation de la session SEAM au moment de son ouverture.

politique

Ensemble de règles régissant l'utilisation des tickets, mises en place au moment de l'installation de SEAM ou pendant son administration. Les politiques permettent de réglementer les accès aux principaux, ou les paramètres des tickets, par exemple leur durée de vie.

primaire

Première partie du nom d'un principal. Voir aussi instance, nom de principal et secteur.

principal

1. Client/utilisateur dont le nom est unique ou instance de serveur/service participant à une communication en réseau ; les transactions Kerberos mettent en cause des interactions entre des principaux (principaux de service et d'utilisateur) ou entre des principaux et des KDC. En d'autres termes, un principal est une entité unique à laquelle Kerberos peut attribuer des tickets. Voir aussi nom de principal, principal de service et principal d'utilisateur.

2. (RPCSEC_GSS API) Voir principal de client et principal de serveur.

principal admin

Principal d'utilisateur dont le format du nom est nom_utilisateur/admin (comme dans jean/admin). Un principal admin peut détenir plus de privilèges (par exemple, pour modifier des politiques) qu'un principal d'utilisateur ordinaire. Voir aussi nom de principal et principal d'utilisateur.

principal de client

(RPCSEC_GSS API) Client (un utilisateur ou une application) utilisant des services de réseau sécurisés RPCSEC_GSS. Les noms de principaux client sont enregistrés sous forme de structures rpc_gss_principal_t.

principal de serveur

(RPCSEC_GSS API) Principal fournissant un service. Ce principal est stocké sous forme de chaîne de caractères ASCII dont le format est service@hôte. Voir aussi principal de client.

principal de service

Principal assurant l'authentification Kerberos pour un ou plusieurs services. Le nom primaire d'un principal de service se compose du nom du service, comme ftp, et de son instance, c'est-à-dire le nom d'hôte qualifié du système fournissant le service. Voir aussi hôte principal et principal d'utilisateur.

principal d'utilisateur

Principal attribué à un utilisateur particulier, dont le nom primaire est un nom d'utilisateur et dont l'instance facultative est un nom servant à décrire l'usage prévu des justificatifs d'identité correspondants (par exemple, jean ou jean/admin). Également appelé instance d'utilisateur. Voir aussi principal de service.

QOP

Abréviation de «Quality of Protection» (qualité de protection). Paramètre servant à sélectionner les algorithmes de chiffrement utilisés de concert avec le service d'intégrité ou de confidentialité.

relation

Variable ou relation de configuration définie dans le fichier kdc.conf ou krb5.conf.

SEAM

Abréviation de «Sun Enterprise Authentication Mechanism» (mécanisme d'authentification pour l'entreprise de Sun). Système d'authentification des utilisateurs d'un réseau, conçu à partir de la technologie Kerberos V5 développée par le Massachusetts Institute of Technology.

La documentation SEAM utilise indifféremment les termes "SEAM" et "Kerberos".

secteur

1. Réseau logique soutenu par une base de données SEAM unique et un ensemble de centres de distribution des clés (KDC).

2. Troisième partie du nom d'un principal. Le secteur du nom de principal jean/admin@FRA.ACME.COM est FRA.ACME.COM. Voir aussi nom de principal.

serveur

Principal particulier fournissant une ressource aux clients d'un réseau. Par exemple, si vous vous connectez par l'intermédiaire de rlogin à l'ordinateur montreal.fra.acme.com, cet ordinateur est le serveur fournissant le service rlogin . Voir aussi principal de service.

serveur d'application

Voir serveur d'applications en réseau.

serveur d'applications en réseau

Serveur hébergeant une application de réseau, comme ftp. Un secteur peut contenir plusieurs serveurs d'applications de réseau.

service

1. Ressource fournie aux clients du réseau, souvent par plus d'un serveur. Par exemple, si vous vous connectez par l'intermédiaire de rlogin à l/ ordinateur montreal.fra.acme.com, cet ordinateur est le serveur fournissant le service rlogin.

2. Service de sécurité -- d'intégrité ou de confidentialité, assurant un niveau de protection supérieur à la simple authentification. Voir également intégrité et confidentialité.

service de sécurité

Voir service.

table de clés

Fichier de table de clés contenant une clé ou plus (principaux). L'utilisation de ce fichier par l'hôte ou le service ressemble beaucoup à la façon dont l'utilisateur se sert d'un mot de passe.

TGS

Abréviation de «Ticket-Granting Service» (service d'octroi de tickets). Partie du KDC responsable de l'attribution des tickets.

TGT

Abréviation de «Ticket-Granting Ticket» (ticket d'octroi de tickets) Ticket attribué par le KDC, permettant au client de demander des tickets pour d'autres services.

ticket

Paquet d'informations servant à transmettre en toute sécurité l'identité de l'utilisateur à un serveur ou un service. Un ticket n'est valide que pour un seul client et un service particulier sur un serveur donné. Il contient le nom de principal du service, le nom de principal de l'utilisateur, l'adresse IP de l'hôte de l'utilisateur, un horodatage et une valeur définissant la durée de vie du ticket. La création du ticket s'effectue à l'aide d'une clé de session aléatoire dont se servent le client et le service. Une fois le ticket créé, il peut être réutilisé jusqu'à son expiration. Un ticket ne sert qu'à l'authentification du client, lorsqu'il est présenté avec un nouvel authentificateur. Voir aussi authentificateur, justificatif d'identité, service et clé de session.

ticket à proxy

Ticket utilisé par un service pour le compte du client et servant à effectuer une opération pour ce dernier. (On dit alors que le service agit en tant que proxy du client.) Grâce à ce ticket, le service peut adopter l'identité du client dans le but d'obtenir un ticket de service d'un autre service, mais non un ticket d'octroi de tickets. La différence entre un ticket à proxy et un ticket transférable réside dans le fait que le ticket à proxy n'est valide que pour une seule opération. Voir aussi ticket transférable.

ticket initial

Ticket émis directement (c'est-à-dire, indépendant d'un ticket d'octroi de tickets existant). Certains services, comme les applications permettant de modifier les mots de passe, peuvent avoir besoin de tickets marqués comme étant initiaux afin d'assurer que le client peut démontrer qu'il connaît sa clé secrète --, étant donné que la présence d'un ticket initial indique que le client s'est authentifié récemment (plutôt que d'avoir fait appel à un ticket d'octroi de tickets qui lui peut être en circulation depuis longtemps).

ticket non valide

Ticket postdaté qui n'est pas encore utilisable. Le serveur d'application rejette ce ticket tant qu'il n'est pas validé. Pour que le ticket soit validé, le client doit le présenter au KDC au moyen d'une requête TGS, dont l'indicateur VALIDATE est défini, après l'heure de début. Voir aussi ticket postdaté.

ticket postdaté

Un ticket postdaté ne devient valide qu'un certain temps après sa création. Par exemple, un tel ticket peut s'avérer utile avec les tâches exécutées par lots la nuit, car le ticket, s'il est volé, ne peut pas être utilisé tant que l'exécution de ces tâches n'a pas eu lieu. Au moment de l'attribution d'un ticket, celui-ci est non valide et conserve cet état a) jusqu'à son heure de début et b) jusqu'à ce que le client demande une validation au KDC. Un ticket postdaté demeure normalement valide jusqu'à l'expiration du ticket d'octroi de tickets ; par contre, s'il est marqué comme étant renouvelable, sa durée de vie est normalement égale à la durée de vie entière du ticket d'octroi de tickets. Voir aussi ticket non valide et ticket renouvelable.

ticket renouvelable

Étant donné que tout ticket dont la durée de vie est très longue peut menacer la sécurité, il est possible de désigner des tickets comme étant renouvelables. Ainsi désigné, le ticket possède deux durées avant expiration : l'heure à laquelle l'instance courante du ticket expire, et la durée de vie maximum de tout ticket. Si le client désire conserver un ticket, il doit le renouveler avant sa première expiration. Par exemple, un ticket peut être valide pendant une heure, et tous les tickets peuvent avoir une durée de vie maximum de 10 heures. Le client détenant un ticket et souhaitant le conserver pendant plus d'une heure doit le renouveler. Lorsque la durée de vie maximum du ticket parvient à échéance, il expire automatiquement et ne peut plus être renouvelé.

ticket transférable

Ticket qu'un client peut utiliser pour demander un ticket à un hôte distant sans qu'il doive se soumettre au processus complet d'authentification de cet hôte. Par exemple, si l'utilisateur david obtient un ticket transférable lorsqu'il utilise l'ordinateur de julie, il peut se connecter à son propre ordinateur sans se procurer un nouveau ticket (et, par conséquent, sans s'authentifier de nouveau). Voir aussi ticket à proxy.

type

Historiquement, les expressions type de sécurité et type d'authentification sont interchangeables, signifiant toutes deux une sorte d'authentification (AUTH_UNIX, AUTH_DES, AUTH_KERB). RPCSEC_GSS est également un type de sécurité, même s'il permet d'assurer les services d'intégrité et de confidentialité, en plus de l'authentification.

type de sécurité

Voir type.