Kerberos utiliza criptografia para verificar la identidad del usuario, manipulando dos tipos de claves:
Clave secreta del usuario: clave conocida únicamente por el usuario y por Kerberos, con la finalidad de autentificar un usuario frente a Kerberos. El Sevidor de Autenticación (AS) conoce las passwords de todos los usuarios y las almacena en una base de datos centralizada. El AS comparte una única clave secreta con cada servidor. Esas claves fueron distribuídas físicamente o de alguna otra forma segura.
Clave de sesión: clave generada por Kerberos luego de autenticar al usuario, con la finalidad de autenticar el intercambio realizado por un determinado par de usuarios que definen una sesión. Esta clave es generada atendiendo una solicitud hecha por los usuarios, siendo válida por un tiempo pre-determinado (tiempo de vida) y conocida únicamente por aquellos para los cuales fue originalmente generada.
Existen dos tipos de credenciales usadas en este modelo: un ticket y un autenticador. Un ticket es un certificado distribuído por Kerberos que contiene el identificador del usuario en el cliente y la dirección de red del cliente, junto con el identificador del servidor. Ese ticket es encriptado (para que no pueda ser alterado por el cliente o por un intruso) usando la clave secreta compartida por el AS y ese servidor. Un autenticador es una credencial generada por el cliente, conteniendo información adicional. Sólo cuando el servidor desencripta el tiket y verifica que el identificador de usuario en el ticket es el mismo que el del mensaje recibido por el cliente, el servidor considera que el usuario es auténtico y otorga el servicio requerido.
El protocolo básico de Kerberos permite a un usuario con conocimiento de la clave secreta del cliente, obtener un ticket y una clave de sesión. Suponer la siguiente situación: un usuario desea chequear sus mail por la mañana, para ello necesitará ingresar la password para acceder al servidor de mail, si luego desea chequear sus mails por la tarde y por la noche, deberá reingresar su password. Una solución para ese problema sería decir que los tickets son reusables. Para una sesión en particular, la workstation almacena el ticket del servidor de mail para que sea utilizado en múltiples accesos a este servidor. Esto crea la necesidad de un ticket para cada servicio diferente (servidor de mail, servidor de impresión, servidor de archivos, ...), y, de esa manera, la primera instancia de cada acceso, requeriría que el usuario ingrese su password.
Otro problema sería la transmisión de la password, la cual podría ser capturada para usar cualquier servicio sin autorización.
Para solucionar los anteriores inconvenientes se introduce un nuevo esquema conocido como TGS (Servidor de Conceción de Tickets), el cual provee facilidades a los usuarios que fueron autenticados por el AS.
El funcionamiento de Kerberos pued ser dividido en cuatro etapas:
