Kulcsterjesztés
A titkos kulcs hitelesítési technikája nem magyarázza meg, hogy az ügyfél és a kiszolgáló hogyan kapja meg a titkos munkamenetkulcsot, használni az egymással folytatott munkamenetekben. Ha emberek, titokban találkozhatnak, és megállapodhatnak a kulcsban. Ha azonban az ügyfél egy munkaállomáson futó program, és a kiszolgáló egy hálózati kiszolgálón futó szolgáltatás, ez a módszer nem fog működni.
Egy ügyfél több kiszolgálóval szeretne kommunikálni, és mindegyikhez különböző kulcsokra lesz szüksége. A kiszolgáló számos ügyféllel kommunikál, és mindegyikhez különböző kulcsokra van szükség. Ha minden ügyfélnek más kulcsra van szüksége minden kiszolgálóhoz, és minden kiszolgálónak más kulcsra van szüksége minden ügyfélhez, a kulcsterjesztés problémát okoz. Emellett a kulcsok számos számítógépen való tárolásának és védelmének szükségessége óriási biztonsági kockázatot jelent.
A Kerberos-protokoll neve a kulcsterjesztés problémájára kínál megoldást. Kerberos (vagy Cerberus) a klasszikus görög mitológia egyik alakja volt – egy vad, háromfejű kutya, aki betolakodókként élt az Alvilágba való belépéstől. A mitikus védőhöz hasonlóan a Kerberos protokollnak is három feje van: egy ügyfél, egy kiszolgáló és egy megbízható harmadik fél, hogy közvetítsen közöttük. A protokoll megbízható közvetítője a Key Distribution Center (KDC).
A KDC egy fizikailag biztonságos kiszolgálón futó szolgáltatás. Egy olyan adatbázist tart fenn, amely a tartományábanbiztonsági tagok fiókadatait tartalmazza. A tartomány a windowsos tartomány Kerberos-megfelelője.
Az egyes biztonsági tagokra vonatkozó egyéb információk mellett a KDC egy olyan titkosítási kulcsot is tárol, amely csak az egyszerű és a KDC számára ismert. Ez az főkulcs, az egyes biztonsági tagok és a KDC közötti csere során. A Kerberos protokoll legtöbb implementációjában ez a főkulcs egy biztonsági tag jelszavából származó kivonat függvénnyel származik.
Amikor egy ügyfél biztonságos kapcsolatot szeretne létrehozni egy kiszolgálóval, az ügyfél azzal kezdődik, hogy kérést küld a KDC-nek, nem pedig annak a kiszolgálónak, amelyet el szeretne érni. A KDC létrehoz és elküld az ügyfélnek egy egyedi munkamenetkulcsot, az ügyfél és egy kiszolgáló számára, a hitelesítéshez. A KDC az ügyfél főkulcsához és a kiszolgáló főkulcsához is hozzáfér. A KDC a kiszolgáló főkulcsával titkosítja a munkamenetkulcs másolatát, az ügyfél példányát pedig az ügyfél főkulcsával.
A KDC megbízható közvetítőként betöltheti a szerepkörét úgy, hogy a munkamenetkulcsot közvetlenül az érintett biztonsági tagoknak küldi el, de a gyakorlatban ez az eljárás számos okból nem fog működni. Ehelyett a KDC mindkét titkosított munkamenetkulcsot elküldi az ügyfélnek. A kiszolgáló munkamenetkulcsa egy munkamenetjegyrésze.