Wird ein Benutzer mittels Kerberos an einem Key-Distribution-Center (KDC) authentifiziert, bekommt dieser am Ende des Vorgangs ein Ticket-Granting-Ticket (TGT) ausgestellt. Hiermit ist dann eine transparente Anmeldung an weiteren Kerberos-Diensten möglich. Bevor es jedoch soweit ist, muss der Benutzer initial seine Identität gegenüber dem KDC nachweisen. Dieser Vorgang wird auch als Pre-Authentication bezeichnet und dient als Schutz vor Angreifern, die eine beliebige Anfrage an den Server senden, nur um dann mithilfe eines Wörterbuch- oder Brute-Force Angriffs zu versuchen, an das Benutzerpasswort zu gelangen.

Dies wäre ohne Pre-Authentication möglich, weil der KDC in einem solchen Fall einfach Daten mit einem vom Benutzerpasswort abgeleiteten Schlüssel codiert an den Client senden würde. Angreifer hätten dann jede Menge Zeit, eine Offlineattacke durchzuführen, um so letztendlich an das Benutzerkennwort zu gelangen.

Um einen solchen Angriff zu unterbinden, erfordern alle aktuellen Kerberos-Implementierungen eine Pre-Authentication. Initiiert ein Client eine Anmeldung an einem KDC, wird die Verbindung erst einmal unterbrochen und der Server fordert den Client auf, sich zu authentisieren. Im einfachsten Fall muss der Benutzer einfach sein Passwort eingeben. Hiervon erfolgt die Ableitung eines Schlüssels (long-term Key), der im Anschluss zur Codierung eines Zeitstempels dient. Dieser wird danach zur Authentifizierung des Benutzers an den KDC übertragen. Hat dies funktioniert, bekommt der Benutzer auch ein TGT ausgestellt. Diese Methode ist auch im initialen Kerberos-RFC [1] beschrieben und wird somit von sämtlichen Kerberos-Implementierungen unterstützt [1] und ist in Listing 1 dargestellt.