Из Википедии, бесплатной энциклопедии
Перейти к навигации Перейти к поиску

В вычислениях протокол аутентификации « вызов-рукопожатие» ( CHAP ) аутентифицирует пользователя или сетевой хост для аутентифицирующего объекта. Этой организацией может быть, например, провайдер Интернет-услуг .

CHAP обеспечивает защиту от атак повторного воспроизведения со стороны однорангового узла за счет использования постепенно изменяющегося идентификатора и переменного значения вызова. CHAP требует, чтобы и клиент, и сервер знали открытый текст секрета, хотя он никогда не пересылается по сети. Таким образом, CHAP обеспечивает лучшую безопасность по сравнению с протоколом аутентификации пароля (PAP), который уязвим по обеим этим причинам. Вариант MS-CHAP не требует, чтобы какой-либо одноранговый узел знал открытый текст, и не передает его, но был нарушен. [1]

Рабочий цикл [ править ]

CHAP - это схема аутентификации, используемая серверами протокола точка-точка (PPP) для проверки подлинности удаленных клиентов. CHAP периодически проверяет личность клиента с помощью трехстороннего рукопожатия . Это происходит во время установления начального соединения (LCP) и может произойти снова в любое время после этого. Проверка основана на общем секрете (таком как пароль клиента). [2]

  1. После завершения фазы установления связи аутентификатор отправляет партнеру сообщение с вызовом.
  2. Одноранговый узел отвечает значением, вычисленным с использованием односторонней хеш-функции для объединенного запроса и секрета.
  3. Аутентификатор проверяет ответ по собственному расчету ожидаемого значения хеш-функции. Если значения совпадают, аутентификатор подтверждает аутентификацию; в противном случае он должен разорвать соединение.
  4. Через случайные промежутки времени аутентификатор отправляет новый запрос партнеру и повторяет шаги с 1 по 3.

Пакеты CHAP [ править ]

Описание1 байт1 байт2 байта1 байтПеременнаяПеременная
ИспытаниеКод = 1Я БЫДлинаПродолжительность испытанияЦенность задачиИмя
ОтветКод = 2Я БЫДлинаДлина ответаЗначение ответаИмя
УспехКод = 3Я БЫДлинаСообщение
ОтказКод = 4Я БЫДлинаСообщение

ID, выбранный для случайного запроса, также используется в соответствующих пакетах ответа, успеха и отказа. Новая задача с новым идентификатором должна отличаться от последней задачи с другим идентификатором. Если успех или неудача потеряны, тот же ответ может быть отправлен снова, и он активирует ту же индикацию успеха или неудачи. Для MD5 в качестве хэша значение ответа равно MD5(ID||secret||challenge)MD5 для объединения идентификатора, секрета и запроса. [3]

См. Также [ править ]

Ссылки [ править ]

  1. ^ «Разделяй и властвуй: взлом MS-CHAPv2 со 100% успехом» . Дэвид Халтон . 2012. Архивировано из оригинала 16 марта 2016 года . Проверено 10 марта 2013 .
  2. ^ Forouzan (2007). Передача данных и сети 4E Sie . McGraw-Hill Education (India) Pvt Limited. С. 352–. ISBN 978-0-07-063414-5. Проверено 24 ноября 2012 года .
  3. ^ «Понимание и настройка аутентификации PPP CHAP» . Техническая записка Cisco . 2005 . Проверено 14 августа 2011 .

Внешние ссылки [ править ]

  • RFC  1994 PPP Challenge Handshake Authentication Protocol (CHAP).
  • RFC  2865 Служба удаленной аутентификации пользователей с телефонным подключением ( RADIUS ): использует PAP или CHAP
  • RFC  3748 Extensible Authentication Protocol ( EAP ): обсуждает CHAP