Autenticazione Kerberos 5

Uno dei principali problemi in una LAN è quello di riconoscere (autenticare) con certezza gli utenti che vogliono accedere ai servizi offerti: sessioni di login locali e remote su host Unix o workstation Windows, accesso a server IMAP o POP3 per la consultazione della posta elettronica sono solo alcuni esempi in cui l'utente prima di aver accesso deve essere autenticato. D'altra parte, anche i server che offrono i suddetti servizi devono dimostrare la loro identitità nei confronti degli utenti: sarebbe infatti sgradevole se un server fasullo, inserito nella LAN da qualche impostore, rubasse i segreti dell'utente ignaro che pensa di aver avuto accesso al servizio legittimo.

Per risolvere questi problemi Zeroshell adotta il protocollo di mutua autenticazione Kerberos 5 (RFC 1510). È un protocollo robusto e ormai sempre più diffuso, che mediante l'impiego di ticket e autenticatori riesce a fornire all'utente accesso autenticato ai servizi e a garantire l'autenticità di questi ultimi.

Grazie all'adozione di Kerberos 5, Zeroshell può instaurare relazioni di fiducia (trust) con altri realm (così sono detti i domini di autenticazione in Kerberos 5) e permettere agli utenti di un dominio l'accesso alle risorse e ai servizi di un altro dominio. In particolare, l'adozione di Kerberos 5 da parte di Microsoft come sistema di autenticazione principale in Active Directory, permette di instaurare relazioni di fiducia tra i realm gestiti da Zeroshell e i domini Windows (da Windows 2000 in poi): con ciò si ottiene una completa integrazione tra mondo Unix e mondo Windows, poiché gli utenti potranno accedere indifferentemente con un unico account Kerberos tanto ai servizi Unix quanto a quelli Windows. Questa integrazione tra le due piattaforme è descritta nei documenti Microsoft

Un altro vantaggio nell'uso di Kerberos 5 è il Single Sign-On (SSO): l'utente inserisce le credenziali (Username/Password) una sola volta per sessione di lavoro ottenendo un ticket che gli permetterà di accedere ai diversi servizi in modo trasparente e senza doversi riautenticare.

Per maggiori dettagli sul protocollo Kerberos e le sue implementazione consultare il seguente Kerberos Tutorial