Ordlista

biljett

Ett informationspaket som används för säker överföring av en användares identitet till en server eller tjänst. En biljett gäller bara för en klient och en viss tjänst på en viss server. Biljetten innehåller principalnamnet för tjänsten, principalnamnet för användaren, IP-adressen till användarens värd, en tidsstämpel och ett värde som begränsar biljettens giltighetstid. En biljett skapas med en slumpmässig sessionsnyckel som används av klienten och tjänsten. När en biljett har skapats kan den återanvändas tills den upphör att gälla. En biljett kan bara användas för att verifiera en klient om den skickas tillsammans med en ny verifieriare. Se även verifierare, referens, tjänst, sessionsnyckel.

biljettfil

Se referenscache.

efterdaterad biljett

En efterdaterad biljett är en biljett som inte blir giltig förrän en viss angiven tid efter det att den skapades. En sådan biljett är t ex användbar för satsvisa jobb som ska köras sent på kvällen, eftersom biljetten, om den stjäls, inte kan användas förrän jobbet ska köras. När en efterdaterad biljett utfärdas, utfärdas den som invalid (ogiltig) och förblir ogiltig tills, a) dess starttid har passerats, och b) klienten begär kontroll av KDC:n. En efterdaterad biljett gäller vanligen tills biljettbeviljarbiljetten upphör att gälla, men om biljetten är markerad med renewable (förnyelsebar), anges dess giltighetstid till att vara lika lång som biljettbeviljarbiljettens hela giltighetstid. Se även ogiltig biljett.förnyelsebar biljett.

Fullständigt domännamn

Fullständigt domännamn. Till exempel denver.mtn.acme.com (till skillnad från bara denver).

för principal

En principal som tillhandahåller Kerberos-verifiering för en eller flera tjänster. För tjänstprincipaler är det primära namnet ett namn på en tjänst, t ex ftp, och dess instans är det fullständiga värdnamnet för systemet som tillhandahåller tjänsten. Se även värdprincipal.Missing Cross Reference Target.

förnyelsebar biljett

Eftersom biljetter med mycket lång giltighetstid innebär en säkerhetsrisk kan biljetter anges som renewable (förnyelsebar). En förnyelsebar biljett har två sista användningstider: tiden då den aktuella förekomsten av biljetten löper ut, samt längsta giltighetstid för alla biljetter. Om klienten vill fortsätta använda en biljett förnyas biljetten innan första tidsgränsen nås. En biljett kan t ex vara giltig i en timme och alla biljetter kan ha en längsta giltighetstid på tio timmar. Om klienten som har biljetten vill behålla den i mer än en timme måste klienten förnya biljetten. När en biljett når den längsta giltighetstiden för biljetter slutar den automatiskt att gälla och den kan inte förnyas.

förtrolighet

Se skydd av personuppgifter.

GSS-API

Programmeringsgränssnittet GSS (Generic Security Service). Ett nätverkslager som ger stöd för olika modulära säkerhetstjänster (bl a SEAM). GSS-API:t möjliggör säkra tjänster för verifiering, integritet och skydd av personuppgifter. Se även verifiering, integritet, skydd av personuppgifter.

hemlig nyckel

Se privat nyckel.

huvud-KDC

Den överordnade KDC:n i varje användarkategori. Den innehåller en administrationsserver för Kerberos, kadmind, och ett bakgrundsprogram för verifiering och beviljande av biljetter, krb5kdc . Varje användarkategori måste ha minst en huvud-KDC och kan ha flera underordnade KDC:er som tillhandahåller verifieringstjänster för klienter.

instans

Den andra delen av ett principalnamn, en instans som ytterligare kvalificerar principalens primära namn. Om det gäller en tjänstprincipal, är instansen obligatorisk och den är värdens fullständiga domännamn, t ex värd/boston.eng.acme.com. För användarprincipaler är instansen valfri, lägg dock märke till att johan och johan/admin är skilda principaler. Se även principalnamnet, för principal, Missing Cross Reference Target.

integritet

En säkerhetstjänst som förutom att verifiera användare, även ser till att överförd data är giltig med hjälp av kryptografiska kontrollsummor. Se även verifiering, skydd av personuppgifter.

KDC

(Key Distribution Center) En dator som har tre Kerberos V5-komponenter:

• Principal- och nyckeldatabas

• Verifieringstjänst

• Biljettbeviljartjänst

Varje användarkategori har en huvud-KDC och bör ha en eller flera underordnade KDC:er.

Kerberos

En verifieringstjänst, protokollet som används av tjänsten eller koden som används för att implementera tjänsten.

SEAM är en implementering av verifiering som är baserad på Kerberos V5.

Även om "SEAM" och "Kerberos" egentligen är två olika begrepp, används de ofta för att beskriva samma sak i dokumentationen för SEAM. Det samma gäller "Kerberos" och "Kerberos V5".

Kerberos (stavas även Cerberus) är i grekisk mytologi en vildsint trehövdad jättehund som vaktar portarna till Hades.

klient

• I smal bemärkelse en process som använder en nätverkstjänst för en användares räkning, t ex ett program som använder rlogin. I vissa fall kan servern själv vara en klient för en annan server eller tjänst.

• I vidare bemärkelse en värd som, a) tar emot en Kerberos-referens, och b) använder en tjänst som tillhandahålls av en server.

Informellt en principal som använder en tjänst.

klientprincipal

(RPCSEC_GSS API) En klient (en användare eller ett program) som använder nätverkstjänster som är säkrade med RPCSEC_GSS. Klientprincipalnamn anges med formen rpc_gss_principal_t -strukturer.

kryptering av offentlig nyckel

Ett krypteringsschema där varje användare har två nycklar, en offentlig och en privat. Med kryptering av offentlig nyckel använder avsändaren mottagarens offentliga nyckel för kryptering av meddelandet som mottagaren använder en privat nyckel för att dekryptera. SEAM är ett system med privata nycklar. Se även kryptering av privat nyckel.

kryptering av privat nyckel

Med kryptering av privat nyckel använder avsändaren och mottagaren samma nyckel för kryptering. Se även kryptering av offentlig nyckel.

kvno

Nyckelversionsnummer (KVNO). Ett sekvensnummer som håller reda på en viss nyckel i den ordning den skapades. Det högsta nyckelversionsnumret är den senaste nyckeln (aktuell nyckel).

lagringsfil

En lagringsfil innehåller en krypterad kopia av huvudnyckeln för KDC:n. Den här nyckeln används när en server startas om för att automatiskt verifiera KDC:n innan kadmind och krb5kdc startas. Eftersom den här filen innehåller huvudnyckeln bör filen och eventuella säkerhetskopior förvaras på ett säkert sätt. Om krypteringen äventyras kan nyckeln användas för att komma åt eller ändra KDC-databasen.

mekanism

Ett programvarupaket som anger krypteringstekniker för verifiering av data eller förtrolighet. Exempel: Kerberos V5 och Diffie-Hellman offentlig nyckel.

NTP

(Network Time Protocol) Programvara från University of Delaware med vilken du kan hantera exakt tids- och/eller klocksynkronisering i nätverksmiljö. Du kan använda NTP för att hantera tidsförskjutning i en Kerberos-miljö.

nyckel

1. En post (principalnamn) i en nyckeltabell. (Se nyckeltabell.)

2. En krypteringsnyckel, av vilken det finns tre typer:

   1. En privat nyckel. En krypteringsnyckel som delas av en principal och KDC:n. Den distribueras utanför systemets gränser. Se även privat nyckel.

   2. En tjänstnyckel. Den här nyckeln fungerar på samma sätt som en privat nyckel, men används av servrar och tjänster.Se äventjänstnyckel.

   3. En sessionsnyckel. En tillfällig krypteringsnyckel som används mellan två principaler. Dess giltighetstid begränsas av varaktigheten hos en enskild inloggningssession. Se även sessionsnyckel.

nyckeltabell

En nyckeltabellfil som innehåller en eller flera nycklar (principaler). En värd eller tjänst använder en nyckeltabellfil på ungefär samma sätt som en användare använder ett lösenord.

ogiltig biljett

En efterdaterad biljett som ännu inte går att använda. Biljetten avslås av programservern till dess den är kontrollerad. För att den ska kunna kontrolleras måste den presenteras för KDC:n av klienten i en TGS-förfrågan med flaggan VALIDATE angiven, efter att dess starttid har passerats. Se även efterdaterad biljett.

PAM

(Pluggable Authentication Module) Ett ramverk som gör att flera verifieringsmekanismer kan användas utan att tjänsterna som använder dem behöver kompileras om. PAM aktiverar starten av SEAM-sessionen vid inloggning.

primär

Den första delen av ett principalnamn. Se även instans, principalnamnet, Missing Cross Reference Target.

policy

En uppsättning regler som anges när SEAM installeras eller administreras och som styr användningen av biljetter. Policies kan reglera åtkomst för principaler och biljettparametrar, t ex giltighetstid.

principal

1. En klient/användare eller server/tjänstförekomst med eget namn som deltar i en kommunikation i nätverket. Kerberos-transaktioner omfattar interaktion mellan principaler (tjänstprincipaler och användarprincipaler) eller mellan principaler och KDC:er. En principal är alltså en unik enhet som Kerberos kan tilldela biljetter. Se även principalnamnet, för principal, Missing Cross Reference Target.

2. (RPCSEC_GSS-API) Se klientprincipal, serverprincipal.

principalnamnet

1. Namnet på en principal, med formen primär/instans@ANVÄNDARKATEGORI . Se även instans, primär, Missing Cross Reference Target.

2. (RPCSEC_GSS-API) Se klientprincipal, serverprincipal.

privat nyckel

En nyckel ges till varje användarprincipal och är endast känd av principalens användare och av KDC:n. För användarprincipaler baseras nyckeln på användarens lösenord. Se även nyckel.

programserver

Se programserver i nätverket.

programserver i nätverket

En server som tillhandahåller ett nätverksprogram, t ex ftp. En användarkategori kan innehålla flera programservrar för nätverk.

proxybiljett

En biljett som kan användas av en tjänst på uppdrag av en klient för att utföra en åtgärd för klienten. (Tjänsten sägs fungera som proxy för klienten.) Med biljetten kan en tjänst ta över en klients identitet. Tjänsten kan använda identitieten för att skaffa en tjänstbiljett till en annan tjänst, men den kan inte skaffa en biljettbeviljarbiljett. Skillnaden mellan en proxybiljett och en vidarebefordringsbar biljett är att en proxybiljett är giltig för en enstaka åtgärd. Se även vidarebefordringsbar biljett.

QOP

(Quality of Protection) En parameter som används för att välja krypteringsalgoritmer som ska användas i kombination med integritetstjänsten eller tjänsten för skydd av personuppgifter.

referens

Ett informationspaket som innehåller en biljett och en matchande sessionsnyckel. Används för att kontrollera äktheten hos en principals identitet. Se även biljett, sessionsnyckel.

referenscache

Ett lagringsutrymme (vanligen en fil) som innehåller referenser som har tagits emot från KDC:n.

relation

En konfigurationsvariabel eller ett förhållande som anges i filen kdc.conf eller i krb5.conf.

SEAM

(Sun Enterprise Authentication Mechanism) Ett system för verifiering av användare i ett nätverk. Det är baserat på Kerberos V5-tekniken som har utvecklats vid Massachusetts Institute of Technology.

"SEAM" och "Kerberos" används ofta för att beteckna samma sak i dokumentationen för SEAM.

server

En särskild principal som tillhandahåller en resurs för nätverksklienter.Om du t ex använder rlogin för att ansluta till datorn boston.eng.acme.com är det den datorn som är servern som tillhandahåller tjänsten rlogin. Se även för principal.

serverprincipal

(RPCSEC_GSS-API) En principal som tillhandahåller en tjänst. Den lagras som en ASCII-sträng med formen tjänst@värd. Se även klientprincipal.

sessionsnyckel

En nyckel som skapas av verifieringstjänsten eller biljettbeviljartjänsten. En sessionsnyckel skapas för säkra transaktioner mellan en klient och en tjänst. Dess giltighetstid är begränsad till en enstaka inloggningssession. Se även nyckel.

skydd av personuppgifter

En säkerhetstjänst som krypterar data innan den överförs. Tjänsten omfattar även dataintegritet och användarverifiering. Se även verifiering, integritet, tjänst.

startbiljett

En biljett som utfärdas direkt (som inte baseras på en befintlig biljettbeviljarbiljett). Vissa tjänster, t ex program som ändrar lösenord, kan kräva att biljetter märks med initial (startbiljett) för att kunna försäkra sig själva om att klienten kan visa att den känner till sin hemliga nyckel - eftersom en biljett med egenskapen "intial" (startbiljett) visar att klienten nyligen har verifierat sig själv (i stället för att vara beroende av en biljettbeviljarbiljett som kan vara gammal).

säkerhet, mekanism

Se mekanism.

säkerhetstjänst

Se tjänst.

säkerhetsvariant

Se Missing Cross Reference Target.

TGS

(Ticket-Granting Service, biljettbeviljartjänst) Den del av KDC:n som utfärdar biljetter.

TGT

(Ticket-Granting Ticket, biljettbeviljarbiljett) En biljett som utfärdas av KDC:n och som gör att en klient kan begära biljetter för andra tjänster.

tidsförskjutning

Maximal tid som de interna systemklockorna på alla värdar som deltar i Kerberos-verifieringssystemet kan avvika. Om tidsförskjutningen överskrids mellan två av de ingående värdarna kommer förfrågningar att nekas. Tidsförskjutningen kan anges i filen krb5.conf.

tjänst

1. En resurs som tillhandahålls för nätverksklienter, ofta av mer än en server. Om du t ex använder rlogin för att ansluta till datorn boston.eng.acme.com är det den datorn som är servern som tillhandahåller tjänsten rlogin.

2. En säkerhetstjänst - antingen integritet eller skydd av personuppgifter, som ger ytterligare skydd förutom verifiering. Se även integritet och skydd av personuppgifter.

tjänstnyckel

En krypteringsnyckel som delas av en tjänstprincipal och KDC:n, Den distribueras utanför systemets gränser. Se även nyckel.

underordnad KDC

En kopia av huvud-KDC:n. Den kan utföra de flesta funktioner som huvud-KDC:n kan utföra. Varje användarkategori har vanligen flera underordnade KDC:er (och endast en huvud-KDC). Se även KDC, huvud-KDC.

verifierare

Verifierare skickas av klienter när de begär biljetter (från en KDC) och tjänster (från en server). De innehåller information som skapats med hjälp av en sessionsnyckel som endast är känd av klienten och servern. Det går att se om informationen är skapad nyligen, vilket visar om transaktionen är säker. En verifierare kan användas tillsammans med en biljett för att verifiera en användarprincipal. En verifierare innehåller principalnamnet för användaren, IP-adressen till användarens värd och en tidsstämpel. Till skillnad från en biljett går det bara att använda en verifierare en gång, vanligen vid begäran om åtkomst till en tjänst. Verifieraren krypteras med hjälp av sessionsnyckeln för klienten och servern.

verifiering

Processen när en principals föregivna identitet verifieras.

vidarebefordringsbar biljett

En biljett som kan användas av en klient för att begära en biljett på en fjärrvärd utan att klienten behöver gå igenom den fullständiga verifieringsprocessen på värden. Om t ex användaren johan får en vidarebefordringsbar biljett när han befinner sig på evas dator kan han logga in på sin egen dator utan att han behöver hämta en ny biljett (han undviker därmed att verifiera sig på nytt). Se även proxybiljett.

värd

En dator som är åtkomlig via ett nätverk.

värdprincipal

En särskild förekomst av en tjänstprincipal där principalen (betecknas av det primära namnet värd) är inställd för att tillhandahålla en rad nätverkstjänster, t ex ftp, rcpeller rlogin. värd/boston.eng.acme.com@ENG.ACME.COM är ett exempel på en värdprincipal. Se även serverprincipal.