Kerberosにおいて、クライアントがKDCから受け取ったTGTを復号できない理由はどれか。

TGTはKDCのみが知るkrbtgt鍵で暗号化されており、クライアントは中身を書き換えずに保持します。