Kerberos协议是现代网络通讯中十分常用的用于安全目的协议,但是通过认真分析Dolev-Yao威胁模型下对称加密的弱安全性、用户口令空间规模较小的产生原因和Kerberos协议中离线口令猜测的攻击方法,证明了该协议中存在离线口令猜测缺陷,并通过以上分析为克服该缺陷提供改进思路。由数字签名在现代电子商务中重要性分析得出基于公钥体制的Kerberos改进的必要性。为了克服Kerberos协议的离线口令猜测缺陷和现有基于公钥体制的Kerberos改进协议中用户管理私钥的危险性和使用复杂性,通过分析安全远程口令协议的强口令安全性、可扩张性、和其它强口令协议的可扩展性,给出了基于安全远程口令的强口令证书下载算法,并根据下载的用户证书实现具有数字签名功能的基于公钥体制的Kerberos改进算法。结合以上两点给出了完整的基于安全远程口令和公钥体制的Kerberos改进算法ISRA算法。ISRA算法的离线口令猜测安全性证明,采用形式化的证明方法将成功的离线口令猜测攻击规约为破解密码学中某已知的困难问题,使得该攻击的成功概率几乎为零。为了说明ISRA算法的实用性,在优化ISRA算法的执行后,通过对比ISRA算法和Kerberos协议及其几种基于公钥体制的改进协议的时间效率,证明了ISRA算法的时间效率是可接受的。通过分析ISRA算法在用户登陆、智能卡的使用、现有Kerberos协议系统的改进三个方面的兼容性,进一步说明了该算法的实用性和扩展性。最后,给出了ISRA算法核心数值计算的实现算法,解决了该算法实现的主要难题。