Protokol autentizace Challenge-Handshake - Challenge-Handshake Authentication Protocol - Wikipedia

v výpočetní, Protokol autentizace Challenge-Handshake (CHAP) ověřuje uživatele nebo hostitele sítě k ověřující entitě. Touto entitou může být například poskytovatel internetu.

Protokol CHAP poskytuje ochranu proti opakujte útoky peer prostřednictvím použití postupně se měnícího identifikátoru a proměnné hodnoty výzvy. CHAP vyžaduje, aby klient i server znali prostý text tajemství, i když se nikdy neposílá po síti. CHAP tedy poskytuje lepší zabezpečení ve srovnání s Protokol pro ověření hesla (PAP), který je zranitelný z obou těchto důvodů. The MS-CHAP varianta nevyžaduje, aby peer znal prostý text a nevysílá jej, ale byl rozbit.[1]

Pracovní cyklus

CHAP je schéma ověřování používané serverem Protokol point-to-point (PPP) servery k ověření identity vzdálených klientů. CHAP pravidelně ověřuje totožnost klient pomocí a třícestné podání ruky. K tomu dochází v době stanovení počátečního odkaz (LCP) a může se to stát kdykoli poté. Ověření je založeno na a sdílené tajemství (například heslo klienta).[2]

  1. Po dokončení fáze navázání spojení autentizátor odešle zprávu „výzva“ peer.
  2. Partner odpoví hodnotou vypočítanou pomocí a jednosměrná hash funkce na výzvu a tajemství dohromady.
  3. Autentizátor zkontroluje odpověď proti vlastnímu výpočtu očekávané hodnoty hash. Pokud se hodnoty shodují, ověřovatel potvrdí ověření; jinak by mělo spojení ukončit.
  4. V náhodných intervalech autentizátor odešle novou výzvu vrstevníkovi a opakuje kroky 1 až 3.

CHAP pakety

Popis1 bajt1 bajt2 bajty1 bajtVariabilníproměnná
VýzvaKód = 1IDDélkaDélka výzvyHodnota výzvynázev
OdezvaKód = 2IDDélkaDélka odezvyHodnota odpovědinázev
ÚspěchKód = 3IDDélkaZpráva
SelháníKód = 4IDDélkaZpráva

ID vybrané pro náhodnou výzvu se také používá v odpovídajících paketech odezvy, úspěchu a selhání. Nová výzva s novým ID se musí lišit od poslední výzvy s jiným ID. Pokud dojde ke ztrátě úspěchu nebo selhání, lze odeslat stejnou odpověď znovu a spustí stejnou indikaci úspěchu nebo selhání. Pro MD5 jako hash je hodnota odezvy MD5 (ID || tajemství || výzva), MD5 pro zřetězení ID, tajemství a výzvy.[3]

Viz také

Reference

  1. ^ „Divide and Conquer: Cracking MS-CHAPv2 with a 100% success rate“. David Hulton. 2012. Archivovány od originál dne 16. března 2016. Citováno 2013-03-10.
  2. ^ Forouzan (2007). Datová komunikace a sítě 4E Sie. McGraw-Hill Education (India) Pvt Limited. str. 352–. ISBN  978-0-07-063414-5. Citováno 24. listopadu 2012.
  3. ^ „Porozumění a konfigurace ověřování PPP CHAP“. Technická poznámka společnosti Cisco. 2005. Citováno 2011-08-14.

externí odkazy

  • RFC  1994 Protokol PPP Challenge Handshake Authentication Protocol (CHAP)
  • RFC  2865 Dial Authentication Dial In User Service (POLOMĚR ): používá PAP nebo CHAP
  • RFC  3748 Extensible Authentication Protocol (EAP ): pojednává o CHAP