En un territorio Kerberos, un servidor gestiona un dominio donde los equipos se autentican mutuamente. El proceso de autenticación implica que una entidad solicita un ticket al servidor, el cual contiene una clave de sesión cifrada. La entidad puede luego usar el ticket para solicitar acceso a otros servicios, generando nuevas claves de sesión cifradas para cada servicio.

1. TERRITORIO KERBEROS
Todos los equipos gestionados por un servidor forman un dominio o territorio Kerberos.
Supongamos que Ana quiere solicitar un servicio de Luis y el KDC (un tercero en quien
confían ambas partes (Key Distribution Center)) es Carlos. Tanto Ana como Luis deben
ser conocidos por Carlos (tener un usuario y contraseña).
Primero Ana solicita a Carlos autenticarse mediante un mensaje en claro. Carlos le
envía a Ana dos mensajes. El primer mensaje se llama TGT (Ticket-Granting Ticket) y
está cifrado con una clave privada de Carlos (indescifrable para Ana). El TGT incluye el
identificador de Ana, el periodo de validez de la sesión y la clave de sesión Ana-Carlos.
El segundo mensaje que le envía Carlos a Ana es la etiqueta de sesión Ana-Carlos que
contiene una clave de sesión Ana-Carlos y está cifrado con la clave de Ana. Al estar
cifrado con la clave de Ana solo ella podrá acceder a la clave de sesión Ana-Carlos. Si
Ana es capaz de usar la clave de sesión Ana-Carlos está autenticada.
Una vez autenticada Ana debe solicitar a Carlos el uso del servicio de Luis. Para hacer
la solicitud envía a Carlos un mensaje con el TGT y el identificador del servicio de Luis
al que quiere acceder. Además Ana envía un mensaje Autenticador que contiene su
identificador y una marca de tiempo, cifrado con la clave de sesión Ana-Carlos.
Carlos utiliza su clave secreta para descifrar el TGT y obtener la clave de sesión Ana-
Carlos. Con la clave de sesión Ana-Carlos descifra el Autenticador y lo da por válido
(pues solo Ana lo ha podido enviar ya que es la única que conoce la clave de sesión
Ana-Carlos).
Carlos verifica si Ana tiene permiso para acceder al servicio de Luis y en ese caso le
envía a Ana dos nuevos mensajes. Un mensaje contiene una nueva clave de sesión Ana-
Luis cifrada con la clave de sesión Ana-Carlos (que Ana puede descifrar).
Otro mensaje petición de servicio contiene los datos de Ana (identificador, periodo de
validez) y la clave de sesión Ana-Luis cifrados con la clave de Luis (indescifrable para
Ana).
Ana envía entonces a Luis el mensaje petición de servicio tal y como se lo envió Carlos.
Además le envía un nuevo mensaje Autenticador con su identificador y una marca de
tiempo cifrado con la clave de sesión Ana-Luis.
Luis descifra con su clave secreta el mensaje petición de servicio, lo que le garantiza
que la petición proviene de un cliente autenticado (pues lo ha generado Carlos), y
obtiene la clave de sesión Ana-Luis.
Con la clave de sesión Ana-Luis descifra el Autenticador suma uno a la marca de
tiempo y lo devuelve a Ana, de nuevo cifrado por la clave de sesión Ana-Luis.
Ana descifra el Autenticador y verifica que la marca de tiempo es la que había indicado
más uno, lo que sirve para autenticar a Luis.