Kerberos’ta her bilet süreli verilir: kullanıcıya oturum başında verilen TGT ve ardından servisler için alınan servis biletleri, belirli bir geçerlilik süresinin ardından geçersiz olur. Bilet ömrü ve yenileme yapılandırması, bu sürelerin ne kadar olacağını ve biletlerin süresi dolduğunda parola yeniden istenmeden ne kadar uzatılabileceğini tanımlar.

Kerberos bileti, bir kimliğin süreli kanıtıdır; ömür ayarı bu kanıtın ne kadar geçerli kalacağını, yenileme ise onu ne kadar süre parola sormadan tazeleyebileceğinizi belirler.

Ömür ve Yenileme Penceresi

Yapılandırmada iki temel süre vardır. Bilet ömrü (ticket lifetime), biletin aktif olarak kullanılabildiği penceredir; varsayılan alan denetleyicisi politikalarında bu genellikle 10 saat civarındadır. Yenileme ömrü (renewal lifetime) ise biletin, süresi dolduğunda kullanıcıdan yeniden kimlik doğrulama istemeden tazelenebileceği daha geniş bir üst sınırdır, tipik olarak 7 gün.

Bir bilet ömrü dolduğunda ama yenileme penceresi içinde kaldığında, istemci biletini KDC’ye tazeletir ve yeni bir geçerlilik süresi alır. Yenileme penceresi de dolduğunda tazeleme durur ve kullanıcının baştan kimlik doğrulaması gerekir. Bu iki katmanlı yapı, sürekli parola sorma zorunluluğu olmadan biletlerin süresiz yaşamasını da engeller; teknik temel için Kerberos kimlik doğrulama akışını incelemek gerekir.

Güvenlik Açısından Neden Önemli?

Bilet ömrü doğrudan bir güvenlik parametresidir çünkü çalınan bir biletin saldırgana kaç saat işe yarayacağını belirler. Çok uzun ömürler, ele geçirilen bir biletin uzun süre kullanılabilir kalması demektir; bu, çalınan biletlerin başka oturumlara enjekte edildiği Yetki yükseltme senaryolarında saldırganın penceresini genişletir. Öte yandan aşırı kısa ömürler KDC üzerinde gereksiz yük ve kullanıcı kesintisi yaratır, bu yüzden ayar bir denge işidir.

Sağlıklı Yapılandırma

Kurumsal ortamda amaç, iş akışını bölmeyecek kadar uzun ama çalınan biletin değerini sınırlayacak kadar kısa süreler seçmektir. Ayrıcalıklı hesaplar için daha sıkı ömürler ve daha dar yenileme pencereleri uygulamak, saldırgana en değerli biletlerde en az zamanı bırakır.

• Standart kullanıcı biletleri için makul ömür (ör. 10 saat) ve sınırlı yenileme penceresi (ör. 7 gün) tanımlayın
• Ayrıcalıklı hesaplarda daha kısa ömür ve daha dar yenileme uygulayın
• Anormal derecede uzun ömürlü veya sık tazelenen biletleri izleyin
• Yenileme penceresini, çalınan biletin sonsuza dek tazelenmesini engelleyecek şekilde sınırlayın

Bilet ömrü politikalarının saldırgan penceresini gerçekte ne kadar açtığı, ancak Kerberos yanlış yapılandırmalarının bütününe bakan bir değerlendirmeyle anlaşılır; Privia Security’nin altyapı ve mimari gözden geçirme hizmeti bu ayarları daha geniş Active Directory güvenliği duruşu içinde değerlendirir.