Prima di descrivere gli elementi che compongono un sistema di autenticazione Kerberos e di vederne il funzionamento, ecco di seguito quali sono gli obiettivi che tale protocollo vuole raggiungere:
- La password dell’utente non deve mai viaggiare sulla rete;
- La password dell’utente non deve mai essere memorizzata in nessuna forma sulla macchina client: essa dopo essere utilizzata deve essere subito scartata;
- Le password dell’utente non dovrebbero essere memorizzate in chiaro neanche nel database dei server di autenticazione;
- All’utente è richiesto di inserire la password una sola volta per sessione di lavoro. Potrà pertanto accedere, durante detta sessione, a tutti i servizi per il quale è autorizzato, in modo trasparente, senza dover reinserire la password. Questa caratteristica è nota come Single Sign-On
- La gestione delle informazioni di autenticazione è centralizzata e risiede sul server di autenticazione. I server applicativi non devono contenere informazioni di autenticazione dei loro utenti. Ciò è essenziale per ottenere i seguenti risultati:
- L’amministratore potrà disabilitare l’account di un utente agendo in un solo posto senza dover agire su più server applicativi che forniscono i vari servizi;
- L’utente, cambiando la password, lo fa per tutti i servizi contemporaneamente;
- Non vi è nessuna ridondanza di informazioni di autenticazione che altrimenti bisognerebbe difendere in più posti;
- Non solo gli utenti devono dimostrare di essere chi dicono di essere, ma, quando richiesto, anche i server applicativi devono provare la loro autenticità ai client. Questa caratteristica prende il nome di Mutua autenticazione;
- Se richiesto, dopo che l’autenticazione e l’autorizzazione sono avvenute, client e server devono poter stabilire una connessione criptata. A tal scopo, Kerberos fornisce supporto alla generazione e allo scambio di una chiave crittografica da utilizzare per cifrare i dati.