通过HTTP传输的Kerberos是否安全，是否存在被网络嗅探的风险？

首先明确一个核心误区：端口仅用于区分同一主机上的不同网络服务，和传输内容是否加密没有强制绑定关系。80端口只是IANA默认分配给明文HTTP协议的常用端口，并不代表所有运行在80端口的流量都是明文传输。

针对Kerberos协议的具体情况说明如下：

• Kerberos 默认使用88端口（支持TCP、UDP），跑在80端口的场景一般是为了绕过端口限制，采用了Kerberos over HTTP（即KKDCP协议）的配置方案，常见于需要跨公网访问Kerberos认证服务的场景。
• Kerberos 协议自身已经对核心敏感内容做了原生加密保护：认证报文里的票据（Ticket）字段使用对应服务的长期密钥加密，返回给客户端的会话密钥使用客户端自身的长期密钥加密，哪怕整个报文被嗅探捕获，攻击者没有对应的密钥也无法解密获得敏感信息。
• 如果是普通HTTP 80端口承载的Kerberos流量，外层传输无加密，攻击者可以嗅探到通信双方的身份、请求的服务类型等流量元数据，但核心认证信息不会泄露。如果是把TLS加密的Kerberos服务配置在80端口运行，那么连流量元数据也无法被嗅探获取。
• 仅当主动修改了Kerberos的默认安全配置，禁用了所有加密类型强制使用明文传输时，内容才会被嗅探获取，这种配置完全不符合安全规范，生产环境几乎不会出现。

内容的提问来源于stack exchange，提问作者mohsen jamali