我的理解是这样的，这里涉及到3个加密的东西：1 用户的密码 2 session key, 3 要访问的服务器和认证服务器的密钥。
步骤1，2 client请求认证服务器，希望得到 session key。认证服务器会生成一个session key，然后用用户的密码加密。用户收到后用自己的密码解密。得到session key。
步骤3,4 client发送session key给认证服务器，希望得到ticket，认证服务器用session key加密用户名等用户信息，生成Authenticator，用服务器约定好的密钥加密session key。Authenticator，加密后的session key，以及用户名等用户信息一起作为ticket发给client。
步骤5,6 client发送ticket给服务器，服务器收到后，用自己的密钥解密session key，然后用session key再去解密Authenticator，得到用户信息，解密和的用户信息和收到的用户信息对比，如何是一致的，那么就通过认证。