目次

1. Kerberos認証とは
 2. Kerberos認証で登場する用語
 3. Kerberos認証の流れ
 4. Kerberos認証への攻撃：Pass-the-Ticket
5. Kerberos認証への攻撃：Kerberoasting
6. まとめ
 参考文献

1. Kerberos認証とは

Kerberos認証とは、SSO¹を実現するための技術のことです。

Kerberos認証の特徴は二つあります。
一つ目が、「チケット」というデータが存在すること。
二つ目が、WindowsのActive-directory²で応用されていることで有名なこと。

2. Kerberos認証で登場する用語

Kerberos認証には独自の用語が存在するのでそれらについて表2.1で説明します。

表2.1 Kerberos認証の用語の説明
用語	説明
KDC	Key Distribution CenterKerberos；認証のサーバ AS、TGS、KDBで構成されている
AS	Authentication Server；認証サーバ利用者の認証を行う
TGS	Ticket Grating Server；チケット認可サーバ各サーバを利用するためのチケットを発行するサーバ
レルム	KDCが管理して認証を行うセグメントの範囲のこと
プリンシパル	利用者、およびサービスを提供するサーバのこと
TGT	Ticket Frating Ticket；チケット許可チケット利用者が本人であることを証明するためのもの
ST	Service Ticket；サービスチケットサーバにアクセスするときに必要となるチケット

3. Kerberos認証の流れ

Kerberos認証は以下のような流れで行われます。

KRB_AS_REQ: TGTの発行申請。利用者がASにIDとパスワードを送信する。
KRB_AS_REP: 利用者が本人であることが検証できたら、ASは利用者にTGTを発行する。
KRB_TGS_REQ: STの発行申請。利用者がTGSにTGTを送信する。
KRB_TGS_REP: TGTが偽造されていないか検証できたら、TGSは利用者にSTを発行する。
KRB_AP_REQ: サービスの申請。利用者がサーバにSTを送信する。
KRB_AP_REP: サーバは利用者にサービスを提供する。

4. Kerberos認証への攻撃：Pass-the-Ticket

Kerberos認証への攻撃として、「Pass-the-Ticket」というものがあります。

Pass-the-Ticketとは、チケット情報を窃取したり偽造することで不正にサービスへアクセスすることです。

不正に入手したTGTを「ゴールデンチケット」、
不正に入手したSTを「シルバーチケット」と呼びます。

TGTは、KDCにおいて偽造を検知する対策が行えますが、
STは、KDCに送信されることがないので、KDCでの対策はできません。

5. Kerberos認証への攻撃：Kerberoasting

Kerberos認証への攻撃として、「Kerberoasting」というものがあります。

Kerberoastingとは、サーバ管理者のアカウントパスワードを解読して不正にログインすることです。

具体的には、STはサーバ管理者のパスワードハッシュ値を鍵として暗号化されています。
そのため、サーバ管理者のパスワードを総当たりに試行して、STを復号できるような鍵を見つけると、それがサーバ管理者のパスワードとなります。
STが窃取されただけでは被害は限定的ですが、サーバ管理者のパスワードが解読されるとサーバそのものが乗っ取られてしまいます。

STに対する総当たり攻撃はオフラインで行われるため、ログイン失敗回数に制限を設けてアカウントロックをするといった対策はできません。

6. まとめ

Kerberos認証はSSOを実現する技術の一つで、Active-Directoryで使われている
Kerberos認証では、　KDC、レルム、プリンシパル、TGT、STといった用語が使われている
STやTGTを不正に入手する攻撃を「Pass-the-Ticket」と呼ぶ
STを解読してサーバ管理者のパスワードを入手する攻撃を「Kerberoasting」と呼ぶ
Kerberoastingはオフラインで行われるため検知が難しい

参考文献

情報処理安全確保支援士試験委員会. 『令和4年春情報処理安全確保支援士試験午後II』. IPA. 2022.
三好康之. 『2023情報処理安全確保支援士「専門知識+午後問題」の重点対策』. 株式会社アイテック. 2022.

SSO(Single Sign On)：一度の認証で複数のサービスにログインできる仕組み ↩
Active-directory：ネットワークに接続されているWindows PCやWindowsサーバを一元管理するWindowsの機能 ↩