security - 使用 kerberos 的 PAC

Question

我目前正在研究 kerberos，现在对 MS-KILE kerberos 扩展中的 PAC 有这个疑问。

pac 是否可以包含在pactype授权数据的结构中，用于客户端解密和解码。

看来（如果我的理解是正确的），PAC 是用目标服务器的加密密钥加密的，只有 kdc 和目标服务器知道，因此，客户端只需要在请求服务时将其转发到服务器，而不是应该解密和提取有关其凭据的详细信息。

有没有办法尝试即时解密？（AS-REP 中是否有足够的信息可供我提取和解密？

Answer 1

你的理解是正确的。PAC 由目标服务器的加密密钥加密，只有 KDC 和目标服务器知道。因此，客户端无法解密和提取有关其凭据的详细信息。这是为了确保没有人可以修改 PAC 中的内容。