crypto/kerberosIV/man/kerberos.1

   1 .\" $Id: kerberos.1,v 1.3 1997/11/07 12:37:34 bg Exp $
   2 .\" Copyright 1989 by the Massachusetts Institute of Technology.
   3 .\"
   4 .\" For copying and distribution information,
   5 .\" please see the file <mit-copyright.h>.
   6 .\"
   7 .TH KERBEROS 1 "Kerberos Version 4.0" "MIT Project Athena"
   8 .SH NAME
   9 kerberos \- introduction to the Kerberos system
  10
  11 .SH DESCRIPTION
  12 The
  13 Kerberos
  14 system authenticates
  15 individual users in a network environment.
  16 After authenticating yourself to
  17 Kerberos,
  18 you can use network utilities such as
  19 .IR rlogin ,
  20 .IR rcp ,
  21 and
  22 .IR rsh
  23 without
  24 having to present passwords to remote hosts and without having to bother
  25 with
  26 .I \.rhosts
  27 files.
  28 Note that these utilities will work without passwords only if
  29 the remote machines you deal with
  30 support the
  31 Kerberos
  32 system.
  33 All Athena timesharing machines and public workstations support
  34 Kerberos.
  35 .PP
  36 Before you can use
  37 Kerberos,
  38 you must register as an Athena user,
  39 and you must make sure you have been added to
  40 the
  41 Kerberos
  42 database.
  43 You can use the
  44 .I kinit
  45 command to find out.
  46 This command
  47 tries to log you into the
  48 Kerberos
  49 system.
  50 .I kinit
  51 will prompt you for a username and password.
  52 Enter your username and password.
  53 If the utility lets you login without giving you a message,
  54 you have already been registered.
  55 .PP
  56 If you enter your username and
  57 .I kinit
  58 responds with this message:
  59 .nf
  60
  61 Principal unknown (kerberos)
  62
  63 .fi
  64 you haven't been registered as a
  65 Kerberos
  66 user.
  67 See your system administrator.
  68 .PP
  69 A Kerberos name contains three parts.
  70 The first is the
  71 .I principal name,
  72 which is usually a user's or service's name.
  73 The second is the
  74 .I instance,
  75 which in the case of a user is usually null.
  76 Some users may have privileged instances, however,
  77 such as ``root'' or ``admin''.
  78 In the case of a service, the instance is the
  79 name of the machine on which it runs; i.e. there
  80 can be an
  81 .I rlogin
  82 service running on the machine ABC, which
  83 is different from the rlogin service running on
  84 the machine XYZ.
  85 The third part of a Kerberos name
  86 is the
  87 .I realm.
  88 The realm corresponds to the Kerberos service providing
  89 authentication for the principal.
  90 For example, at MIT there is a Kerberos running at the
  91 Laboratory for Computer Science and one running at
  92 Project Athena.
  93 .PP
  94 When writing a Kerberos name, the principal name is
  95 separated from the instance (if not null) by a period,
  96 and the realm (if not the local realm) follows, preceded by
  97 an ``@'' sign.
  98 The following are examples of valid Kerberos names:
  99 .sp
 100 .nf
 101 .in +8
 102 billb
 103 jis.admin
 104 srz@lcs.mit.edu
 105 treese.root@athena.mit.edu
 106 .in -8
 107 .fi
 108 .PP
 109 When you authenticate yourself with
 110 Kerberos,
 111 through either the workstation
 112 .I toehold
 113 system or the
 114 .I kinit
 115 command,
 116 Kerberos
 117 gives you an initial
 118 Kerberos
 119 .IR ticket .
 120 (A
 121 Kerberos
 122 ticket
 123 is an encrypted protocol message that provides authentication.)
 124 Kerberos
 125 uses this ticket for network utilities
 126 such as
 127 .I rlogin
 128 and
 129 .IR rcp .
 130 The ticket transactions are done transparently,
 131 so you don't have to worry about their management.
 132 .PP
 133 Note, however, that tickets expire.
 134 Privileged tickets, such as root instance tickets,
 135 expire in a few minutes, while tickets that carry more ordinary
 136 privileges may be good for several hours or a day, depending on the
 137 installation's policy.
 138 If your login session extends beyond the time limit,
 139 you will have to re-authenticate yourself to
 140 Kerberos
 141 to get new tickets.
 142 Use the
 143 .IR kinit
 144 command to re-authenticate yourself.
 145 .PP
 146 If you use the
 147 .I kinit
 148 command to get your tickets,
 149 make sure you use the
 150 .I kdestroy
 151 command
 152 to destroy your tickets before you end your login session.
 153 You should probably put the
 154 .I kdestroy
 155 command in your
 156 .I \.logout
 157 file so that your tickets will be destroyed automatically when you logout.
 158 For more information about the
 159 .I kinit
 160 and
 161 .I kdestroy
 162 commands,
 163 see the
 164 .I kinit(1)
 165 and
 166 .I kdestroy(1)
 167 manual pages.
 168 .PP
 169 Currently,
 170 Kerberos
 171 supports the following network services:
 172 .IR rlogin ,
 173 .IR rsh ,
 174 .IR rcp ,
 175 .IR pop ,
 176 .IR ftp ,
 177 .IR telnet ,
 178 .IR AFS
 179 and
 180 .IR NFS.
 181
 182 .SH "SEE ALSO"
 183 kdestroy(1), kinit(1), klist(1), kpasswd(1), des_crypt(3), kerberos(3),
 184 kadmin(8)
 185 .SH BUGS
 186 Kerberos
 187 will not do authentication forwarding.
 188 In other words,
 189 if you use
 190 .I rlogin
 191 to login to a remote host,
 192 you cannot use
 193 Kerberos
 194 services from that host
 195 until you authenticate yourself explicitly on that host.
 196 Although you may need to authenticate yourself on the remote
 197 host,
 198 be aware that when you do so,
 199 .I rlogin
 200 sends your password across the network in clear text.
 201
 202 .SH AUTHORS
 203 Steve Miller, MIT Project Athena/Digital Equipment Corporation
 204 .br
 205 Clifford Neuman, MIT Project Athena
 206
 207 The following people helped out on various aspects of the system:
 208
 209 Jeff Schiller designed and wrote the administration server and its
 210 user interface, kadmin.
 211 He also wrote the dbm version of the database management system.
 212
 213 Mark Colan developed the
 214 Kerberos
 215 versions of
 216 .IR rlogin ,
 217 .IR rsh ,
 218 and
 219 .IR rcp ,
 220 as well as contributing work on the servers.
 221
 222 John Ostlund developed the
 223 Kerberos
 224 versions of
 225 .I passwd
 226 and
 227 .IR userreg .
 228
 229 Stan Zanarotti pioneered Kerberos in a foreign realm (LCS),
 230 and made many contributions based on that experience.
 231
 232 Many people contributed code and/or useful ideas, including
 233 Jim Aspnes,
 234 Bob Baldwin,
 235 John Barba,
 236 Richard Basch,
 237 Jim Bloom,
 238 Bill Bryant,
 239 Rob French,
 240 Dan Geer,
 241 David Jedlinsky,
 242 John Kohl,
 243 John Kubiatowicz,
 244 Bob McKie,
 245 Brian Murphy,
 246 Ken Raeburn,
 247 Chris Reed,
 248 Jon Rochlis,
 249 Mike Shanzer,
 250 Bill Sommerfeld,
 251 Jennifer Steiner,
 252 Ted Ts'o,
 253 and
 254 Win Treese.
 255
 256 .SH RESTRICTIONS
 257
 258 COPYRIGHT 1985,1986 Massachusetts Institute of Technology