kdc: split out pa_enc_ts_decrypt_kvno() from pa_enc_ts_validate()