Недоліки та обмеження

Єдина точка відмови: потрібне постійне наявність центрального сервера. Коли сервер Kerberos падає, нові користувачі не можуть увійти. Це може бути усунена за допомогою декількох серверів Kerberos і резервних механізмів аутентифікації.

Kerberos має суворі вимоги до часу, що означає, що годинник учасників повинні бути синхронізовані в заданих межах. Мандати мають час життя і, якщо годинник клієнта не синхронізовані з годинником сервера Kerberos, аутентифікація нічого очікувати виконано. Конфігурація за замовчуванням вимагає, щоб годинник розходилися не більш ніж на п’ять хвилин один від одного. На практиці, як правило, використовуються демони Network Time Protocol для синхронізації годин у клієнтів.

Протокол адміністрування не стандартизований і залежить від конкретної реалізації сервера. Зміна пароля описана в RFC 3244.

У разі використання симетричною криптографії (Kerberos може працювати з використанням як симетричною, так і асиметричною (з відкритим ключем) криптографії), так як всі способи аутентифікації управляються централізовано центром розподілу ключів (KDC), ця особливість інфраструктури аутентифікації дозволить зловмиснику видавати себе за користувача.

Кожен мережевий сервіс, що вимагає зміни імені хоста, повинен буде оновити власний набір ключів Kerberos. Це ускладнює використання віртуального хостингу і кластерів.

Kerberos вимагає, щоб облікові записи користувачів, клієнти і користувачі послуг на сервері, всі довіряли сервера Kerberos (всі повинні бути в одному і тому ж домені з Kerberos або в доменах, що мають довірчі відносини один з одним). Kerberos не може використовуватися у випадках, коли користувачі хочуть підключатися до служб від невідомих/ненадійних клієнтів, як в звичайному інтернеті.