客戶機(jī)將服務(wù)許可票據(jù)和認(rèn)證信息發(fā)送給服務(wù)器，服務(wù)器驗(yàn)證票據(jù)和認(rèn)證信息中的相匹配，允許訪問(wèn)服務(wù)。如果需要雙向鑒別，服務(wù)器返回一個(gè)認(rèn)證信息，過(guò)程如下圖所示。

經(jīng)過(guò)前兩個(gè)階段后，客戶端獲得了與服務(wù)器進(jìn)行通信所需要的服務(wù)許可票據(jù)和會(huì)話密鑰。客戶端向服務(wù)器發(fā)送認(rèn)證信息，并提交服務(wù)許可票據(jù)。服務(wù)器通過(guò)解密獲得客戶端的時(shí)間標(biāo)記或序列號(hào)，同時(shí)將這些信息用會(huì)話密鑰加密后發(fā)送回客戶端。客戶端保留最近接收到的時(shí)間標(biāo)記或者序列號(hào)的最大值，以防止重放攻擊。

C一>S:{A..}K..,{T.,.)K. S一>C：(t)K。。

Kerberos認(rèn)證協(xié)議的缺陷

Kerl)eros,認(rèn)證系統(tǒng)雖然在網(wǎng)絡(luò)環(huán)境中有著廣泛的應(yīng)用，但也存在一定的局限性。首先，

協(xié)議中的認(rèn)證信息依賴于時(shí)間標(biāo)記來(lái)實(shí)現(xiàn)抗重放攻擊，這要求使用該協(xié)議進(jìn)行認(rèn)證的計(jì)算機(jī)需要實(shí)現(xiàn)時(shí)間同步，嚴(yán)格的時(shí)間同步需要有時(shí)間服務(wù)器，因此，時(shí)間服務(wù)器的安全至關(guān)重要。其次，協(xié)議認(rèn)證的基礎(chǔ)是通信方均無(wú)條件信任KDC，一旦其安全受到影響，將會(huì)威脅整個(gè)認(rèn)證系統(tǒng)的安全，同時(shí)，隨著用戶數(shù)量的增加，這種第三方集中認(rèn)證的方式容易形成系統(tǒng)性能的瓶頸。