CRIPTOGRAFÍA II

Jhon Criollo

EJE 1
Conceptualicemos

Fuente: GettyImages/963458556
 Introducción . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3

Aplicaciones de autenticación – kerberos . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5

Servicios de autenticación de aplicaciones con Kerberos . . . . . . . . . . . . . . 6

Intercambio de claves criptográficas en Kerberos . . . . . . . . . . . . . . . . . . . .9

Intercambios de información de Kerberos: . . . . . . . . . . . . . . . . . . . . . . . . . 11

Intercambio AS: . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 11

Intercambio TGS: . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 12

Intercambio Cliente Servidor: . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 12

Características del intercambio de información en kerberos . . . . . . . . . . . 13

Conclusiones . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 18

Bibliografía . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 19
ÍNDICE
 Introducción

El cifrado de clave pública incorporan mecanismos de firma y certi-

ficado digitales, estos mecanismos establecen los principios de autenti-
cación a nivel de capa de aplicación del stack de protocolos de internet.

La criptografía simétrica y asimétrica permiten el aseguramiento de la

integridad de los mensajes intercambiados en un criptosistema mediante
el uso de llaves. Sin embargo el uso de claves presenta otros desafíos a
solucionar como son:

• La generación de claves de sesión.

• La distribución de estas claves.
INTRODUCCIÓN

• El almacenamiento de estas.
• El aseguramiento de la integridad de las claves.
• La revocación de una llave cuando el empleado ha dejado
la empresa.
• La actualización de las claves cuando alguna ha sido
comprometida.

Esos desafíos no son fáciles de solucionar, en primera medida se apela

al usuario con el fin de que este genere, almacena y guarde de forma
segura sus claves; pero esto ha demostrado ser poco práctico, confuso y
generalmente inseguro aún más cuando los usuarios acceden a múltiples
servidores en la red desde sitios remotos al otro lado del mundo.

Figura 1. Usuarios y servidores

Fuente: Gettyimages/1051109988
 Para solucionar estos inconvenientes un mecanismo de defensa es la
incorporación de un tercero confiable en la comunicación que se encar-
gue de ser garante de las comunicaciones entre usuarios y servidores, y
que a su vez ayude en las tareas descritas anteriormente en cuanto a la
gestión de claves.

Derivado del aseguramiento del intercambio de mensajes entre las par-

tes, es posible implementar aplicaciones de autenticación como kerberos,
en este eje de pensamiento realizaremos una descripción de su forma de
operación y principales características.
INTRODUCCIÓN

Con lo descrito anteriormente se busca en este eje dar respuesta a la

pregunta: ¿Mediante qué mecanismos de autenticación un usuario
puede lograr acceso a recursos, aplicaciones y servicios basado en
Kerberos?
 Aplicaciones de
autenticación – kerberos
 Servicios de autenticación de aplicaciones con Kerberos

En el modelo cliente servidor, los servicios a nivel de protocolos de capa de aplicación

como FTP, DNS, o WWW se disponen en servidores físicos dispersos en la red de manera
distribuida; además el uso de recursos de almacenamiento como Drive de Google se
acceden de forma distribuida, por último la mayoría de las aplicaciones actualmente se
consumen desde dispositivos móviles como celulares o dispositivos IoT.

Figura 2. Protocolos
Fuente: Gettyimages/483855823

El modelo tradicional de sistemas de información locales ha cambiado a un modelo

distribuido, esto en gran medida al desarrollo de soluciones de virtualización, el aumento
del uso de aplicaciones basadas en Internet y el Cloud computing, sin dejar de lado la
apropiación de la IoT y el emergente concepto de IoE.

Lo anterior plantea una necesidad en el desarrollo de servicios de autenticación a nivel

de capa de aplicación que cumpla con las características de un criptosistema de clave
pública basado en el uso de firmas digitales y la emisión de certificados digitales.

Kerberos es un desarrollo del MIT que

Figura 3. Kerberos
Fuente: https://bit.ly/2YfmcgL
da respuesta a esta necesidad; permite Kerberos
validar a los usuarios que requieren Es un protocolo de seguri-
dad creado por MIT que usa
acceso a servicios, recursos y aplica- una criptografía de claves
ciones por medio de un servidor de simétricas para validar
usuarios con los servicios de
autenticación. red evitando así tener que
enviar contraseñas a través
de la red.
Con este mecanismo de autentica-
ción es posible evitar los intentos de usuarios no autorizados
que intentan interceptar contraseñas y luego emplearles
para acceder a los servicios, recursos y aplicaciones en un
servidor local o distribuido.

Criptografía II - eje 1 conceptualicemos 6

 La mayoría de los servicios de redes emplean esquemas de
autenticación basado en contraseñas, estas contraseñas se
transportan en la red a nivel de capa de internet mediante
el uso del protocolo IP; el protocolo IP carece de mecanismos
para el aseguramiento de la integridad de los paquetes que
transporta ya que su principal objetivo es el encaminamiento
de paquetes entre redes.

Lo anterior hace posible que un atacante se pueda colocar en el medio de la comuni-

cación y tratar de capturar paquetes de datos y filtrar su contenido para lograr obtener
contraseñas y luego iniciar sesión en los servidores asiéndose pasar por el legítimo usuario
(Figura 4).

David
Lee el mensaje de Bob
para Alice

Bob Alice

Internet
Figura 4. Ataque pasivo a redes de datos en comunicaciones basadas sobre la internet
Fuente: propia

Este tipo de intrusiones no es un caso aislado, durante el año 2018 más precisamente
en septiembre, el gigante Facebook sufrió el hackeo de sus servidores y como resultado
fueron dejadas más de 50 millones de cuentas expuestas. Las consecuencias derivaron
en la idea de crear un propio grupo de defensa informática al interior del gigante de las
redes sociales.

Visitar página
Amplié un poco más esta noticia en el siguiente enlace:

Facebook sufre el primer gran hackeo de su historia y

deja expuestas más de 50 millones de cuentas.

https://www.elmundo.es/

Criptografía II - eje 1 conceptualicemos 7

 Este mecanismo de intercambio de contraseñas ha demostrado ser inseguro al pedir
al usuario un nombre y contraseña para autenticarse en un servicio de la red.

Para que este esquema sea seguro sería necesario mantener una distancia con usua-
rios no autorizados y además todos los usuarios que deseen acceder al servidor deberían
ser de “confianza” y plenamente conocidos. Aun así, no se podría garantizar que la red
sea segura una vez que tal información sale a internet por ejemplo comprometiendo la
integridad de la información transmitida.

Para mejorar la seguridad de este sistema, Kerberos restringe él envió de información

de autenticación a través de la red; esto hace prácticamente imposible el uso de anali-
zador de paquetes como Wireshack para descifrar contraseñas que se envían por la red.

La forma como hace esto es implementar mecanismos de autenticación de los usuarios

ante un servidor de autenticación propiamente dicho antes de lograr el acceso al servidor
donde está alojado el servicio, recurso o aplicación solicitada.

El nombre de Kerberos hace referencia a la figura de la mitología griega de

un perro de tres cabezas que cuida la entrada al inframundo, sin embargo,
significa más que ello.

Cada cabeza es en sí una parte de la estructura de Kerberos:

1. La primera cabeza representa al usuario y su información (identidad

y claves de acceso empleadas).
2. La segunda cabeza representa al servidor de autenticación o AS
(ante este se valida el usuario en primera instancia).
3. La tercera cabeza representa al servicio de otorgamiento de tickets
o TGS (este genera un ticket para el acceso al servidor).

Las tres cabezas son necesarias para la operación de Kerberos y comprende su centro
de distribución de claves o KDC; el núcleo KDC de kerberos está conformado por el ser-
vidor de autenticación o Authentication Server y el Servidor de Generación de Ticket´s o
Ticket Granting Server.

Criptografía II - eje 1 conceptualicemos 8

 Intercambio de claves criptográficas en Kerberos

El uso de claves en Kerberos sigue el siguiente ciclo:

Figura 5. Seguridad en la información - Distribución de Claves Secretas

Fuente: Pereñiguez, F. (2015)

1. Cuando un usuario ingresa a la organización pasa por un proceso de registro en

este recibe una llave maestra, esta llave es estática y dinamizará todo el proceso
de comunicación entre el servidor de autenticación (SA) y el servidor de entrega
de tickets (TGT). Esta llave no cambia como tal, más puede ser revocada o re-
novada según las políticas de seguridad, con esta clave se asegura el equipo y el
usuario entiende que en futuras comunicaciones se empleará esta clave definida
como clave maestra o “Ka”

2. A partir de la clave maestra “Ka” se genera una clave de sesión denomina Clave
de sesión o “Kab” y se calcula con el uso de un algoritmo simétrico como AES, al
contrario de la clave maestra generada en el registro la clave de sesión es diná-
mica y secreta. Esta clave se genera a partir de la comunicación con el centro de
distribución de claves (KDC) de Kerberos; en la figura mostrada la entidad A co-
rresponde al usuario, en el escenario mostrado A solicita al KDC la generación de
una clave de sesión mediante la solicitud “Ka” y el KDC responde generando una
clave común maestra “Kb”, por lo que la clave de sesión se define como “Kab”. Por
su parte la entidad B representa al servidor de autenticación (AS) de kerberos. Las
claves de inicio de sesión tienen un tiempo de vida determinado y al expirar esta se
debe solicitar una nueva clave al KDC para su distribución. Esta clave se incorpora
en el intercambio AS que explicaremos más adelante, como resultado se obtendrá
un TGT (o Ticket Granting Ticket) denominado ticket de acceso.

3. Una vez se obtiene la clave se sesión incluida en el TGT, se puede solicitar una
clave de servicio entre el usuario y el servidor al que se desea lograr acceso, en
el diagrama mostrado el servidor corresponde a la entidad C, con esta clave el

Criptografía II - eje 1 conceptualicemos 9

 usuario puede autenticarse ante el TGT que es el servidor de entrega de tickets
(Ticket-granting Server para solicitar su clave de servicio, esta comunicación ocu-
rre en el intercambio TGS explicado más adelante. En la figura mostrada A, se le
ha entregado una clave de sesión “Kab” que presenta ante el TGS y se le genera una
clave de servicio definida como “Kbc” esta clave se incorpora en el ticket de servicio
que se envía a C para otorgar el acceso; como tal tiene las mismas características
de ser una clave dinámica con tiempo de vida definido; como consecuencia las
entidades A, B, C deberán volver al KDC la distribución de claves válidas para la
comunicación.

El KCD de Kerberos está compuesto por el “AS” o servidor de autenticación y el “TGT” o

servidor de generación de Ticket´s que explicaremos en el apartado de comunicaciones de
Kerberos. Este mecanismo de uso de claves maestras y dinámicas de Kerberos asegura la
comunicación segura de toda la infraestructura y garantiza la completa identidad de las
entidades que participan en la comunicación haciendo posible la autenticación mutua
entre las partes estableciendo un canal de comunicación seguro por cifrado simétrico
de intercambio de información.

El único inconveniente es el compromiso de la clave maestra, ante lo cual toda la

infraestructura se vería seriamente comprometida por la posible explotación de una
vulnerabilidad derivada del hecho del compromiso de esta, por ello la entidad A (en este
ejemplo) debe implantar políticas seguras de almacenamiento y actualización de su clave
para no comprometer al sistema kerberos.

Instrucción
Para complementar el tema le invitamos a realizar desde
la página principal del eje las siguientes actividades:

Lectura complementaria:
Network security essentials, (Cap. 4, pp. 94-111)
William Stallings

Control de lectura

Criptografía II - eje 1 conceptualicemos 10

 Intercambios de información de Kerberos:

Para entender su funcionamiento es necesario entender cómo se da la comunicación

entre las tres partes (figura 2), Kerberos realiza tres intercambios1 de información antes
de otorgar el acceso al servidor, estos pasos son:

1. Intercambio AS (círculos 1 y 2)
2. Intercambio TGS (círculos 3 y 4)
3. Intercambio Cliente /Servidor (solicitud mostrada en el círculo 5)

Figura 6.Pasos de intercambio de información en Kerberos

Fuente: Typo3.org. (2019)

Enseguida realizamos una descripción de cada paso de intercambio de información.

Intercambio AS:

Antes de iniciar la sesión en la red, los usuarios deben proporcionar información de

inicio de sesión y su contraseña. Esta información es entregada al servidor de autenti-
cación (AS) quien valida la información recibida logrando acceso al directorio activo y
asegurando que la información suministrada es fiable y permite la adecuada autentica-
ción del cliente.

1
Kerberos. (2019). Retrieved from https://web.mit.edu/rhel-doc/4/RH-DOCS/rhel-rg-es-4/ch-kerberos.html

Criptografía II - eje 1 conceptualicemos 11

 Una vez autenticado se genera un boleto AS para obtener un ticket TGT solamente
válido en el dominio local (por ejemplo en el dominio www.fuaan.edu.co); como tal el TGT
tiene un vida útil delimitada en el tiempo de aproximadamente 10 horas según como se
configure en Kerberos y es renovable durante la sesión de inicio del usuario sin necesidad
de volver a ingresar su contraseña.

Si el KDC aprueba la solicitud del cliente por medio de un TGT (denominado respuesta
AS), ésta incluye dos secciones:

• Un TGT cifrado con una clave que solamente el KDC conoce y

administra y que a su vez solamente puede descifrar

• Una clave de sesión cifrada con la contraseña del usuario

empleando un HASH criptográfico para futuras comunicaciones
con KDC.

Debido a que el cliente no puede interpretar el contenido TGT, presenta el mismo al

TGS (Servidor de Generación de Tickets) quien a su vez generara un ticket o “boleto de
servicio”. El TGT incluye información de tiempo de vida, datos de autorización, una clave
de sesión para comunicación con el cliente y el TGS.

Intercambio TGS:

El cliente al obtener el TGT en el primer intercambio, lo entrega al Servidor de Genera-

ción de Tickets o TGS en el momento de hacer una solicitud
para acceso al servidor de destino. El TGS auténtica el TGT del TGT
usuario y crea un ticket con una clave de sesión para ambas Denominado por Kerberos como
partes (cliente y servidor remoto) denominado “ticket de ser- Ticket Granting Ticket, incluye los
parámetros de:
vicio” (Service ticket) este se almacena temporalmente en la Key (TGS) = [Client, address, validity,
máquina del cliente. Key (Client, TGS)]
Key (Client)= [ Key (client, TGS)]

El servidor de generación de tickets utiliza su propia clave TGS

El Ticket de servicio está definido en
para validar el TGT recibido, el cliente lee su parte utilizando Kerberos como Ticket (Client, servi-
la clave de sesión TGS recuperada en la respuesta AS y pre- ce) incluye los parámetros de:
senta a la parte servidor de la respuesta TGS al servidor en el Key (service)= service, [client, client
adress, validity, Key (Client, service)]
intercambio de clave cliente servidor del último paso. Key (Client, TGS) = Key (Client, ser-
vice)
Intercambio Cliente Servidor: A su vez el TGT enviado desde el
cliente incluye parámetros adicio-
nales a los ya indicados que son:
Una vez que el cliente tiene el ticket de servicio, le es posible Service
acceder al servidor de destino donde está el servicio, recurso o Key (TGS) = [Client, address, validity,
Key (Client, TGS)]
aplicación solicitado. El servidor de destino puede descifrar la
Key (Client, TGS) = Authenticator [
información que es entregada por el TGS utilizando su propia Client, timestamp]
clave KDC.

Criptografía II - eje 1 conceptualicemos 12

 El ticket de servicio se emplea para autenticar al usuario desde el lado cliente y esta-
blece una sesión de servicio entre el cliente y el servidor de destino. Este boleto tiene
una marca de tiempo, una vez se agote el mismo, este se puede renovar para usar
nuevamente el servicio.

El servidor de destino puede incorporar servicios de capa de aplicación como transfe-

rencia de archivos, servicios de impresión, sistemas gestores de bases de datos, o ejecución
de aplicaciones remotas, entre otras opciones.

En comparación con los pasos anteriores en que al TGT generado el paso 1 (Intercambio
AS) se agrega información del servicio en el paso 2 (Intercambio TGS), el ticket de servicio
generado el paso 2 (Intercambio TGS) no presenta adiciones y se entrega con los mismos
parámetros al servidor de destino en este último paso.

Características del intercambio de información en kerberos

Figura 7. Seguridad
Fuente: Gettyimages/669282050

Criptografía II - eje 1 conceptualicemos 13

 Una característica que se debe destacar es que Kerberos puede restringir el acceso a
usuarios no autorizados en el sistema, además autentica las solicitudes de servicio pro-
piamente dicho. Esto permite identificar a los usuarios correctamente ante los servicios
de red, esto evita tres tipos de amenazas probables:

• El acceso de un usuario no autorizado a una estación cliente para

fingir ser otro usuario que opera desde esta estación de trabajo.

• La alteración de dirección IP de origen para las solicitudes enviadas

desde la estación cliente con el fin de suplantar la sesión.

• La escucha intrusiva en intercambios de mensajes y el uso de ata-

ques de repetición al tratar de acezar a un servicio o interrumpir las
respuestas desde el servidor de destino.

• El acceso a servicios sin el uso de TGT y tickets de servicio generados

en el KDC de Kerberos.

Kerberos proporciona un servicio fiable en la autenticación de los usuarios ante el

servicio solicitado, los intercambios mencionados se realizan de forma transparente al
cliente a diferencia de otros mecanismos de autenticación.

Para facilitar este intercambio de información Kerberos

Nota de autor
emplea el cifrado simétrico de claves, dejando de lado el En el cifrado simétrico cliente y servidor
cifrado de clave pública, ambos descritos en el módulo de comparten el uso de la llave privada que
es común para cifrar y descifrar los men-
Criptografía I. sajes en la comunicación.
Nota de autor
Kerberos ha evolucionado constantemente mejorando Es confiable en el sentido de que los
la fiabilidad de su infraestructura KDC, entonces hablamos clientes y los servidores confían en Kerbe-
ros para que medie en su autentificación
de versiones. Actualmente la versión más reciente es la 5. mutua. Suponiendo que el protocolo de
Kerberos está bien diseñado, el servicio
de autentificaciones seguro si el servidor
Kerberos versión 5, mejora algunas deficiencias de su Kerberos es seguro en sí mismo.
versión anterior (Kerberos v4) y mejora considerablemente
la seguridad de su KDC, además se implementa en el código fuente de distros de Linux
y versiones de Windows server más recientes. Las mejoras de Kerberos v5, solucionan
limitaciones de entorno y deficiencias técnicas de operación.

Por su parte Kerberos v4 es la versión más amplia usada, no se pretende afirmar que
la misma no es completamente segura, realmente se conoce como una versión comple-
tamente funcional y operativa en su KDC; sin embargo tras varias validaciones no logra
cumplir las necesidades de propósito general de las incidencias de Cloud Computing por
ejemplo y presenta algunas fallas menores de entorno y deficiencias técnica mayores
respecto a la versión más reciente.

Criptografía II - eje 1 conceptualicemos 14

 Figura 8. Cloud computing
Fuente: Gettyimages/1127257348

En todo caso ambas versiones son mecanismos de autenticación muy robustos y segu-
ros para la validación de usuarios y servicios en redes de datos de carácter distribuido
que es en sí el modelo de operación actual de los sistemas de información de última
generación. Los usuarios actuales no consumen servicios, recursos o aplicaciones de forma
local, por lo que la protección del mismo equipo cliente es insuficiente, igualmente los
servicios de tiempo compartido en que el servidor provee el nivel de seguridad mediante
políticas de control de alto nivel pueden generar sobrecarga del lado servidor y presentar
latencias y demoras en los tiempos de respuesta. Ambas situaciones no resultan prácticas
hoy en día.

Instrucción
Para ampliar este apartado ingrese a la página
principal del eje y revise el recurso de aprendizaje:
memonota.

Kerberos se presenta como un intermediario de seguridad entre ambas partes y res-

ponde a las necesidades de comunicación en modelos cliente servidor distribuido. Ker-
beros cumple con las características de:

• Seguridad: un atacante que haga filtrado de paquetes transmitidos en la red no

podrá obtener toda la información necesaria delimitada en cada uno de los tres
intercambios de Kerberos, es decir que probablemente tendrá que analizar mu-
chos TGT´s y tickets de servicio antes de poder tratar de acezar al servidor de for-
ma fraudulenta, en todo caso los TGT´s tickets de servicio probablemente ya se
habrán vencido y será necesario renovarlos; en este caso el atacante no podrá ha-
cerlo ante el KDC de Kerberos. La infraestructura de Kerberos y el cifrado simétrico
es bastante robusto hoy en día y la longitud de claves generadas es bastante gran-
de como para poder ser resuelta por medios computacionales convencionales.

Criptografía II - eje 1 conceptualicemos 15

 • Fiabilidad: a partir de los servicios KDC de Kerberos entre el cliente y el servidor
de destino, la falta de disponibilidad de kerberos supone un falta de disponibilidad
de acceso al servicio, recurso o aplicación solicitada; en consecuencia un atacante
está obligado a realizar su proceso de autenticación ante Kerberos antes de in-
tentar accesar al servidor de destino, lo que hace fiable y segura la comunicación
entre las partes lo que resulta ideal en una arquitectura de servidores distribuidos
en la que se pudiera tener copias de otro servidor.

• Transparencia: a parte de la entrega de información de inicio de sesión desde el

cliente, todo el proceso de intercambio es simple y el cliente no proporciona in-
formación adicional, además el KDC de Kerberos gestiona todo el intercambio de
información, la generación de claves, la emisión de TGT´s y tickets de servicio; para
el usuario el mecanismo es completamente transparente y no está al tanto que se
está realizando una tarea de autenticación ante el servicio.

• Escalabilidad: Kerberos permite la agregación de clientes de forma controlada

además de poder admitir el crecimiento de servidores de destino identificables en
el KDC, lo que resulta práctico en las arquitecturas cliente servidor distribuidas.

• Seguridad: Kerberos no requiere que la contraseña del cliente se envíe a través de

la red, los TGT´s y tickets de servicio implementan mecanismo de seguridad que
hacen imposible a los atacantes interpretar el contenido de la comunicación. La
autenticación debe ser mutua, es decir tanto el cliente y el servidor se autentican
ante Kerberos, también se pasan los tickets generados entre el cliente, servidor y
viceversa, se tiene una marca de tiempo y se pasa información de autenticación
permanente entre las partes para reducir la re-autenticación de no ser necesario;
esto es lo suficientemente robusto para impedir ataques de repetición (Aldinger
2010).

• Durabilidad: al autenticarse el cliente mediante Kerberos, esta autenticación es

reutilizable durante la vida útil del ticket. La arquitectura de Kerberos asegura las
interacciones de cliente servidor a través de una red abierta que se puede consi-
derar insegura donde el KDC de Kerberos actúa como un tercero confiable que re-
quiere el establecimiento de una autenticación mutua entre las partes y una clave
secreta incorporada en los mensajes (TGT´s y Tickets de servicio), este mecanismo
es altamente sostenible y durable.

Kerberos presenta las ventajas anteriormente mencionadas, sin embargo, también

presenta alguno de los siguientes desafíos en su implementación:

• La migración de contraseñas residentes en una base de datos ya existente a Ker-

beros puede ser una tarea muy compleja y que toma tiempo.

• En el caso de servidores Red Hat se puede presentar algunos problemas de com-

patibilidad con los PAM (Pluggable Authentication Module).

Criptografía II - eje 1 conceptualicemos 16

• Si la máquina cliente desde donde se origina la solicitud de TGT´s y de tickets de
servicio es comprometida toda la infraestructura de Kerberos también resulta
comprometida.

• Algunas aplicaciones no son “Kerberizadas” este término describe la modificación

del código para el llamado apropiado a las librerías de Kerberos; en algunos casos
no es posible hacer esta modificación de código o es bastante complejo debido al
diseño de la aplicación o su tamaño. Las aplicaciones que no permiten la modifi-
cación de código o de código cerrado que no tienen soporte con Kerberos son las
más complicadas.

• Los ecosistemas de autenticación de aplicaciones como Kerberos no pueden ser

configurados y puestos en marcha a la par con otros sistemas de autenticación
basados en contraseñas, este concepto lo definen los autores como “todo o nada”,
la trasmisión de cualquier contraseña que no emplea a Kerberos para servicios
de autenticación supone un riesgo de compromiso de todo el paquete al ser sus-
ceptible este de ser interceptado perdiendo la red cualquier beneficio en el uso de
Kerberos. Esto implica que solo se pueden emplear las versiones kerberizadas de las
aplicaciones que envíen contraseñas que no cuenten con encriptación.

• La implementación de Kerberos es una opción gratuita, ya que incorpora protoco-

los abiertos y en su desarrollo se contempló que el público puede apoyar su mejora
e implementación; pareciere una ventaja, pero es difícil encontrar un soporte ca-
lificado en algunos casos.

• Kerberos admite la implementación de cualquier tecnología se autenticación a

KDC (por ej.: uso de tarjeta inteligentes,). En algunos casos es necesario modificar
el KDC para que el cliente implemente la autenticación nueva (Casima 2010).

• La infraestructura Kerberos representa un ataque de un solo punto a KDC y puede

afectar el rendimiento de la comunicación en la red.

• Algunos autores referencian que la administración de Kerberos y del centro de

distribución de claves o KDC, debe ser continua lo que puede limitar su uso a las
intranets, se también que la identificación de KDC podría ser un punto objetivo
para recibir ataques de red (System News, 2002).

Instrucción
Ingrese a la página principal del eje y revise el
recurso de aprendizaje: animación.

Criptografía II - eje 1 conceptualicemos 17

Conclusiones

En este eje de pensamiento hemos estudiado dos mecanismos de autenticación ante

servidores con Kerberos. Kerberos emplea el cifrado asimétrico para generar la comuni-
cación con su KDC.

Kerberos proporciona una autenticación entre un cliente y un servidor a través de la

criptografía de clave pública, donde tanto el cliente como el servidor tienen acceso a la
misma clave o contraseña utilizada para identificar al cliente con el servidor. El proceso
para autenticar al cliente requiere los siguientes pasos:

1. El sistema del cliente envía una solicitud del sistema para acceder al servidor y so-
licitar al servicio de autenticación que cree un ticket con la información del cliente
junto con la información de la sesión al servidor. La información es verificada tanto
por Kerberos como por el cliente utilizando la contraseña del cliente.

2. Kerberos envía el ticket cifrado al servidor con una contraseña que solo conoce el
servidor y Kerberos.

3. El servidor verifica si la información tiene los datos correctos de Kerberos y el cifra-

do correcto para verificar la identidad del usuario. El boleto se valida por tan solo
cinco minutos, y agregar la marca de tiempo al boleto proporciona otro punto de
control para que el servidor se asegure de que la solicitud sea válida.

Instrucción
Para finalizar el eje le invitamos desde la página
principal a revisar las siguientes actividades:

• Nube de palabras

• Pareo

Criptografía II - eje 1 conceptualicemos 18

 Bibliografía

Avila, F. (2019). Las mejores herramientas para esteganografía. | Security

Hack Labs. Obtenido de https://securityhacklabs.net/articulo/las-
mejores-herramientas-para-esteganografia

Caballero Gil, P. (1996). Introducción a la criptografía. Madrid: Ra-Ma.

Carracedo Gallardo, J. (2004). Seguridad en redes telemáticas. Madrid:

McGraw-Hill.

Criptored. (2019).  Píldora formativa 18: ¿Cómo se ataca la cifra por

sustitución mono-alfabética?  [Video]. Obtenido de https://www.
youtube.com/watch?v=Jsg4QNvhOYQ
BIBLIOGRAFÍA

Fúster Sabater, A. [et al.]. (2004). Técnicas criptográficas de protección

de datos. Madrid: Ra-Ma.

Kerberos. (2019). Red Hat Enterprise Linux 4: Manual de referencia.

Obtenido de https://web.mit.edu/rhel-doc/4/RH-DOCS/rhel-rg-
es-4/ch-kerberos.html

Menezes, A. J., Van Oorschot, P. C. and Vanstone, S. A. (1996). Handbook

of Applied Cryptography. CRC Press.

Pastor Franco, J. (1998). Criptografía digital: fundamentos y

aplicaciones. Zaragoza: Prensas Universitarias de Zaragoza.Singh,
Simon (2000). Los códigos secretos. Madrid: Debate.

Pereñiguez, F. (29 de abril de 2015). Seguridad en la información -

Distribución de Claves Secretas.UCAM Universidad Católica de Murcia.
Obtenido de https://www.youtube.com/watch?v=mqBWQcYxefI

Stalling, W. (2004) Fundamentos de seguridad en redes, aplicaciones y

estándares. Segunda edición. Ed Pearson Education, S.A.

Typo3.org. (2019). Understanding Kerberos concepts. Obtenido de

https://docs.typo3.org/ typo3cms /extensions /ig_ldap_sso_auth/
stable/SSO/Kerberos.html

Universidad Católica de Murcia España. (2019).  Seguridad en la

información - Distribución de Claves Secretas... - Fernando
Pereñiguez  [Video]. Obtenido de https://www.youtube.com/
watch?v=mqBWQcYxefI