● Kerberos由认证服务器（AS）和票证授予服务器（TGS）两部分组成，当用户A通过Kerberos向服务器V请求服务时，认证过程如下图所示，图中①处为（44），②处为（45）。（44） A．KTGS（A,Ks） B．Ks（V,KAV） C．KV（A,KAV） D．Ks（t）（45） A．KAV（t+1） B．Ks（t+1） C．Ks（t） D．KAV（t）

用户A使用明文，向AS验证身份。认证成功后，用户A和TGS联系。然后从TGS获得会话密钥。

Kerberos是一种应用于分布式网络环境、以对称密码体制为基础，对用户及网络连接进行认证的增强网络安全的服务。
Kerberos的基本原理是在网络上建立一个集中保存用户名和密码的认证中心KDC（包含认证服务器AS和票证发放服务器TGS），进行用户的身份验证和授权。Kerberos认证协议是一个较为安全的身份识别协议。它是基于信任第三方，如同一个经纪人集中地进行用户认证和发放电子身份标识。

第1步：用户A使用明文向AS验证身份。认证成功后，用户A和TGS联系。第2步：AS向A发送用A的对称密钥KA加密的报文，该报文包含A和TGS通信的会话密钥Ks及AS发送到TGS的票据（该票据使用TGS的对称密钥KTGS加密）。报文到达A时，输入口令则得到数据。注意：票据包含发送人身份和会话密钥。第3步：转发AS获得的票据、要访问的应用服务器V名称，以及用会话密钥KS加密的时间戳（防止重发攻击）发送给TGS。第4步：TGS返回两个票据，第一个票据包含V名称和会话密钥KAV，使用KS加密；第二个票据包含A和会话密钥KAV，使用KV加密。第5步：A将TGS收到的第二个票据（包含A名称和会话密钥KAV，使用KV加密）使用KAV加密的时间戳（防止重发攻击）发送给应用服务器V。第6步：服务器V进行应答，完成认证过程。最后，A和V就使用TGS发的密钥KAV加密。

在Kerberos认证系统中，用户首先向认证服务器AS申请初始票据，然后从票据授予服务器TGS获得会话密钥。

kav（t+1）表示使用A和V之间的会话密钥kav进行加密通信。