Как технология PKINIT повышает безопасность Kerberos?

Технология PKINIT (public key initialization — инициализация открытого ключа) повышает безопасность протокола Kerberos несколькими способами:

• Двухфакторная аутентификация. habr.com PKINIT позволяет использовать аутентификацию по токенам или смарт-картам на этапе предаутентификации Kerberos. habr.com Двухфакторную аутентификацию по токену можно обойти только тогда, когда администратор намеренно или по недосмотру оставил для этого «лазейки» в системе. habr.com
• Защита сетевого трафика. security.stackexchange.com Если клиентский ключ скомпрометирован, прошлый сетевой трафик остаётся защищённым. security.stackexchange.com Это происходит потому, что во время обмена ключами Диффи-Хеллмана генерируется новый закрытый секрет, который используется для сеансового ключа. security.stackexchange.com
• Сложность модификации открытых ключей. www.researchgate.net Модифицировать открытые ключи в инфраструктуре открытых ключей гораздо сложнее, чем пассивно читать секретные ключи в традиционных базах данных Kerberos. www.researchgate.net
• Независимость дальнейшей аутентификации. www.rfc-editor.org Клиент раскрывает свои долгосрочные секреты только один раз. www.rfc-editor.org Затем TGT и связанный с ним сеансовый ключ можно использовать для любых последующих запросов билетов сервиса. www.rfc-editor.org В результате дальнейшая аутентификация не зависит от метода, которым она была выполнена при первичной аутентификации. www.rfc-editor.org