Entendendo Kerberos em Ambientes Active Directory
Quando você loga num computador ingressado no domínio Windows, acessa uma pasta compartilhada, ou autentica numa aplicação web integrada ao Active Directory (AD), você quase certamente está usando Kerberos — o protocolo de autenticação padrão do Active Directory desde o Windows 2000. Entender como funciona é essencial para administradores de sistemas, profissionais de segurança, e desenvolvedores construindo aplicações integradas ao AD.
O Que é Kerberos?
Kerberos é um protocolo de autenticação de rede desenvolvido no MIT nos anos 1980. Usa criptografia de chave secreta e um terceiro confiável para fornecer autenticação mútua forte entre clientes e serviços sobre redes inseguras. O nome vem da mitologia grega — Cerberus, o cão de três cabeças guardando o submundo — representando as três partes envolvidas: cliente, servidor, e Centro de Distribuição de Chaves (KDC).
Componentes Principais
- Cliente: O usuário ou serviço solicitando acesso
- Centro de Distribuição de Chaves (KDC): A autoridade confiável rodando nos Domain Controllers, compreendendo dois serviços:
- Serviço de Autenticação (AS): Emite Ticket Granting Tickets (TGTs)
- Serviço de Concessão de Tickets (TGS): Emite tickets de serviço para recursos específicos
- Serviço Alvo: O recurso sendo acessado (servidor de arquivos, SQL, app web, etc.)
O Fluxo de Autenticação
- Requisição AS: Cliente envia nome de usuário ao KDC (AS)
- Resposta AS: KDC retorna TGT criptografado (com hash da senha do cliente) e chave de sessão
- Requisição TGS: Cliente apresenta TGT ao KDC (TGS) solicitando acesso a um serviço
- Resposta TGS: KDC retorna ticket de serviço (criptografado com chave secreta do serviço) e chave de sessão
- Requisição AP: Cliente apresenta ticket de serviço ao serviço alvo
- Resposta AP (opcional): Serviço autentica a si mesmo ao cliente para auth mútua
Por Que Kerberos em Vez de NTLM?
| Característica | Kerberos | NTLM |
|---|
| Autenticação | Mútua (cliente e servidor verificam um ao outro) | Unidirecional (servidor verifica cliente) |
| Desempenho | Cache de tickets reduz carga no DC | Toda auth atinge DC |
| Delegação | Suporta delegação restrita/irrestrita | Suporte limitado a delegação |
| Smart Card/PKI | Suporte nativo (PKINIT) | Não suportado |
| Multiplataforma | Sim (Linux, macOS, Unix) | Centrado no Windows |
Conceitos-Chave para Administradores
- Service Principal Names (SPNs): Identificadores únicos para serviços (ex.:
HTTP/webserver.dominio.com). Críticos para Kerberos encontrar a conta de serviço correta. - Delegação: Permite serviços personificarem usuários para acessar recursos backend (ex.: app web → SQL). Configure com cuidado — delegação restrita é mais segura.
- Sincronização de Tempo: Kerberos falha se relógios diferem >5 min (padrão). Garanta sync NTP no domínio.
- Tipos de Criptografia: AES256/AES128 preferidos. RC4-HMAC desabilitado por padrão no Windows moderno por segurança.
- Pré-autenticação: Previne ataques offline de força bruta em requisições TGT. Sempre ativado.
Solução de Problemas Comuns
- KRB_ERR_GENERIC / KRB_AP_ERR_MODIFIED: SPN mal configurado, SPNs duplicados, ou mismatch de senha
- KDC_ERR_PREAUTH_FAILED: Senha errada ou lockout de conta
- Erros de clock skew: Corrija sync de tempo
- Fallback para NTLM: Verifique SPNs, DNS, e que cliente/servidor estão ingressados no domínio
Aprimoramentos Modernos
- Kerberos Armoring (FAST): Protege pré-autenticação com túnel anônimo
- PKINIT: Autenticação baseada em certificado para smart cards
- Delegação Restrita Baseada em Recurso: Modelo de delegação mais seguro controlado por donos de recursos
Kerberos continua a espinha dorsal da autenticação de domínio Windows. Enquanto protocolos como OAuth/OIDC e SAML dominam web SSO, Kerberos é insubstituível para autenticação Windows integrada, comunicação serviço-a-serviço na empresa, e cenários híbridos com Azure AD Domain Services ou AD on-prem.
