以下关于Kerberos认证系统的叙述中，错误的是（ ）。

解析

正确答案：B

Kerberos 是由 KDC（密钥分发中心）作为可信第三方的认证协议，用户访问服务时是向 KDC 申请票据，而不是向 CA 申请。CA 属于 PKI 体系中的证书颁发机构，与 Kerberos 票据机制无关，因此 B 错误。

逐项说明：

• A 正确：Kerberos 正是为开放、不安全的网络提供身份认证，用户无需在每条链路上保证安全。
• B 错误：票据由 KDC 内的 AS（认证服务器）和 TGS（票据授予服务器）签发，先取 TGT，再凭 TGT 换服务票据。
• C 正确：KDC 保存所有用户的口令或派生密钥，是它作为可信第三方的基础。
• D 正确：票据中带时间戳和有效期，配合时钟同步可识别过期票据，防止重放。

考点延伸：Kerberos 三步曲 AS→TGS→Server，全程对称加密；TGT 是单点登录的关键；各主机时钟偏差过大（通常超过 5 分钟）会导致认证失败，这是它依赖时间戳带来的副作用。