请教 Kerberos 完成认证后后续的通信加密是如何完成的？

[tankcong]

请问 Kerberos 认证最后一步 Service/Client 完成互认以后，后续的通信是协商一个密钥做对称加密还是说每次 C/S 交互都要去 KDC 取一个 Ticket 完成一遍认证流程？

[H0u5er]

用户端本地会保存 Ticket 用于后续的通讯，这个 Ticket 类似 Master Key 再签发的 sub-key

<amp-youtube data-videoid="5N242XcKAsM" layout="responsive" width="480" height="270"></amp-youtube>

[tankcong]

@H0u5er 感谢回复，这个视频很详细，收藏了，但这里还是描述的 Kerberos 认证过程，我的问题是，在认证结束以后，User 跟 Service 通信过程中的加密问题。
攻击者是否可以直接攻击后续的通信过程？

[tankcong]

好像明白了，Kerberos 只解决双向互认问题，后续只需要 Client/Service 自己建立 TLS 就行。。

[testcaoy7]

@tankcong 但是 TLS 1.3 里面似乎已经没有使用 KRB5 做验证的密码套件了