Kerberos简介

简要大概地说一下Kerberos是如何工作的：

实际的过程要比刚才描述的复杂得多。用户过程也会根据具体执行有一些改变。

麻省理工研发了Kerberos协议来保护Project Athena提供的网络服务器。这个协议以希腊神话中的人物Kerberos（或者Cerberus）命名，他在希腊神话中是Hades的一条凶猛的三头保卫神犬。目前该协议存在一些版本，版本1-3都只有麻省理工内部发行。

Kerberos版本4的主要设计者Steve Miller和Clifford Neuman，在1980年末发布了这个版本。这个版本主要针对Project Athena。版本5由John Kohl和Clifford Neuman设计，在1993年作为RFC 1510颁布（在2005年由RFC 4120取代），目的在于克服版本4的局限性和安全问题。

麻省理工在版权许可的情况下，制作了一个Kerberos的免费实现工具，这种情况类似于BSD。在2007年，麻省理工组成了一个Kerberos协会，以此推动Kerberos的持续发展。

因为使用了DES加密算法（用56比特的密钥），美国出口管制当局把Kerberos归类为军需品，并禁止其出口。一个非美国设计的Kerberos版本4的实现工具KTH-KRB由瑞典皇家理工研制，它使得这套系统在美国更改密码出口管理条例（2000年）前，在美国境外就可以使用。瑞典的实现工具基于一个叫做eBones的版本，而eBones基于麻省理工对外发行的基于Kerberos版本4的补丁9的Bones（跳过了加密公式和对它们的函数调用）。这些在一定程度上决定了Kerberos为什么没有被叫做eBones版。Kerberos版本5的实现工具，Heimdal，基本上也是由发布KTH-KRB的同一组人发布。

Windows2000和后续的操作系统都默认Kerberos为其默认认证方法。RFC 3244记录整理了微软的一些对Kerberos协议软件包的添加。RFC4757"微软Windows2000Kerberos修改密码并设定密码协议"记录整理了微软用RC4密码的使用。虽然微软使用了Kerberos协议，却并没有用麻省理工的软件。

苹果的Mac OS X也使用了Kerberos的客户和服务器版本。

Red Hat Enterprise Linux4 和后续的操作系统使用了Kerberos的客户和服务器版本。

IETF Kerberos的工作小组在2005年更新了说明规范，最近的更新包括：

"加密和校验和细则"（RFC 3961）

"针对Kerberos版本5的高级加密算法（AES）加密"（RFC 3962）

Kerberos版本5说明规范的新版本"Kerberos网络认证服务（版本5）"（RFC 4120）。这个版本废弃了早先的RFC 1510，用更细化和明确的解释说明了协议的一些细节和使用方法。

GSS-API的一个新版本"Kerberos版本5 普通的安全服务应用软件交互机制：版本2"（RFC 4121）

CDH升级所使用的的应该是Kerberos的版本5

1、位于纽约的美服服务器；

2、腾讯的国服服务器（据说是8核、刀片，但某些服务器排队现象仍很严重）；

3、欧洲的服务器即将一分为二：

（1）欧洲西部：爱尔兰、英国、法国、西班牙、葡萄牙、比利时、卢森堡、荷兰、德国、瑞士、奥地利和意大利；

（2）欧洲北部和东部：冰岛、挪威、瑞典、丹麦、芬兰、爱沙尼亚、拉脱维亚、立陶宛、白俄罗斯、波兰、捷克共和国、斯洛伐克、匈牙利、乌克兰、摩尔多瓦、斯洛文尼亚、克罗地亚、波斯尼亚、罗马尼亚、塞尔维亚、黑山共和国、科索沃、马其顿、保加利亚、阿尔巴尼亚和希腊；

（3）俄罗斯虽属欧洲，但用的仍是纽约的美国服务器。

---