Kerberos là giao thức xác thực và phân phối khóa: sử dụng hệ thống mã hóa đối xứng (symmetric encyption systems), thực thi hiệu quả hơn hệ thống sử dụng public key hay hệ thống mã hóa bất đối xứng. Kerberos phù hợp cho quá trình phải xác thực một cách thường xuyên. Kerberos có một trung tâm gọi là “trung tâm phân phối khóa” (key distribution center-KDC). KDC bao gồm hai chức năng: “máy chủ xác thức” (authentication server-AS) và “máy chủ cung cấp vé” (ticket granting server- TGS). Ticket trong hệ thống Kerberos chính là các chứng thực chứng minh nhận dạng cho một user sử dụng.
Kerberos thực hiện các quá trình sau để xác thực: một user muốn xác thực mình với authentication server (AS), sau đó sẽ chứng minh với ticket granting server (TGS) rằng mình đã được xác thực để nhận ticket rồi, cuối cùng chứng minh với service server (SS) rằng mình đã được chấp nhận để sử dụng dịch vụ rồi:
1. Client gửi một yêu cầu đến AS để yêu cầu dịch vụ.
2. AS kiểm tra bên client có nằm trong cơ sở dữ liệu của mình hay không? Nếu có, AS sẽ gửi lại cho bên client 2 gói tin:
a. Gói tin A: client/TGS session key được mã hóa bởi khóa bí mật của client.
và client/TGS session key) được mã hóa bởi khóa bí mật của TGS.
3. Khi nhận được 2 gói tin trên client giải mã gói tin A để có được session key (TGS). Session key này được sử dụng để giao tiếp với TGS, tuy nhiên client không thể giải mã được gói tin B vì nó được mã hóa bởi khóa bí mật của TGS.
4. Client sau đó sẽ gửi 2 gói tin đến TGS:
a. Gói tin C: gói tin B (chứa ticket)và ID của dịch vụ yêu cầu.
b. Gói tin D: ID (client), timestamp, mật mã hóa sử dụng client/TGS session key.
5. Khi nhận được 2 gói tin C và D, TGS sẽ lấy gói tin B ra khỏi C. Giải mã gói tin B sử dụng khóa bí mật của mình:
a. Gói tin E: ticket (bao gồm ID của client, địa chỉ mạng của client, thời hạn sử dụng session key (client/server)) được mã hóa bởi SS (máy chủ cung cấp dịch vụ).
b. Gói tin F: session key (client/server) được mã hóa bởi session key (TGS).
6. Khi nhận được 2 gói tin E và F, client sẽ gửi 2 gói tin đến SS: a. Gói tin E thu được từ bước trước.
b. Gói tin F: ID của client, thời điểm yêu cầu và được mã hóa bởi session key (client/server).
7. SS giải mã ticket bằng khóa bí mật của mình và gửi gói tin sau cho client: Gói tin H: client/server session key.
8. Client giải mã chứng thực sử dụng client/server session key và kiểm tra timestamp cho phù hợp hay không? Nếu có thì client có thể tin tưởng vào server và sử dụng dịch vụ này.
Hình II.4.4: Hình ảnh trực quan khi sử dụng cơ chế kerberos.
Điểm yếu trong hệ thống Kerberos: nếu máy chủ trung tâm ngừng hoạt động thì mọi hoạt động sẽ ngừng lại. Tuy nhiên ta có thể khác phục bằng việc sử dụng nhiều máy chủ Kerberos.
II.6. Mô hình bảo mật lưới trong Globus Tootkit
Trong GT2, những dịch vụ như Grid Resource Allocation and Management (GRAM), Monitoring and Discovery (MDS), data movement (GridFTP) sử dụng cùng một kiến trúc Grid Security Infrastructure (GSI) chung để cung cấp chức năng bảo mật như thay đổi cơ chế bảo mật chung, tạo động và cấp quyền cho các thực thể, tạo và quản lý động các khu vực bao phủ tin cậy. Chức năng thay đổi cơ chế bảo mật chung được hiện thực qua việc GSI định nghĩa một định dạng chung dựa trên xác thực định danh X.509 và giao thức chuẩn dựa trên lớp bảo mật transport (TLS, SSL). Ngoài ra, chúng còn sử dụng nhiều gateways để chuyển đổi qua lại giữa kiến trúc GSI chung và chuẩn nội bộ của mỗi tổ chức. Mỗi xác nhận GSI được cấp bởi một nhóm thứ ba được tin cậy chính là CA. Nhóm CA có nhiệm vụ cung cấp thông tin để phục vụ quá trình xác thực trong grid. Chức năng tạo động và cấp quyền cho thực thể được thể hiện qua việc GSI mở rộng đến khái niệm xác nhận proxy X.509. Xác nhận này cho phép người dùng gắn động định danh mới đến thực thể và sau đó phó thác vài quyền cho thực thể đó. Việc gắn định danh và nhượng quyền cho thực thể của người dùng không cần thiết phải có sự xác thực của CA. Chức năng tạo và quản lý động các khu vực bao phủ tin cậy được bảo đảm để GSI sử dụng dịch vụ đồng thời cả việc xác thực proxy và dịch vụ bảo mật gọi là CAS. Nhiệm vụ của CAS biểu thị chính sách của VO thông qua những tổ chức tham gia. Quá trình xác thực thông qua CAS được
minh họa như hình II.5.1.
Hình II.5.1: Quá trình xác thực thông qua CAS
Đầu tiên người dùng xác thực với CAS và họ sẽ nhận được yêu cầu của VO để có thể sử dụng resource. Tiếp theo, người dùng sẽ gửi yêu cầu đó đến tổ chức cùng với yêu cầu của họ. Sau cùng là quá trình kiểm tra xem có cấp tài nguyên theo yêu cầu của người dùng hay không. Nhìn chung, trong mô hình GT2 này đã đảm bảo được ba thách thức mà bảo mật lưới đã đề ra.
Trong GT3, kiến trúc GSI đã nâng lên một tầm mới dựa trên mô hình OGSA. Mô hình bảo mật này sử dụng những đặc tính tốt của OGSA và Web Service (WS) để đáp ứng bốn mục tiêu cơ bản.