Co to jest protokół uwierzytelniania hasła?

Protokół uwierzytelniania haseł to sposób wysyłania haseł przez sieć.Hasła są wysyłane niezaszyfrowane po wykonaniu początkowego linku do komputera zdalnego.Ten protokół nie jest uważany za bezpieczny i jest używany tylko przy łączeniu się ze starszym komputerem UNIX, który nie obsługuje bezpieczniejszego uwierzytelniania.

Początkowe połączenie odbywa się poprzez dwukierunkowy uścisk dłoni.Po ustaleniu początkowego linku, a następnie para identyfikatora/hasła jest wysyłana na zdalny serwer.Żądanie uwierzytelniania jest wysyłane wielokrotnie od klienta, dopóki żądanie nie zostanie uznane lub zakończone.Aby zaakceptować hasło, zdalny serwer musi przesyłać pakiet protokołu uwierzytelniania hasła z zestawem kodu do Authenticate-ACK.Jeśli hasło nie jest akceptowane, zdalny serwer musi przesyłać pakiet protokołu uwierzytelniania hasła z zestawem kodu do uwierzytelnienia-NAK, a połączenie jest zakończone.

Protokół uwierzytelniania hasła jest uważany za niepewną metodę przesyłania haseł.Hasła są wysyłane przez sieć w formularzu zwykłego tekstu i są łatwo czytelne z pakietów protokołu punkt-punkt (PPP).Nie ma urządzeń ochronnych do zabezpieczenia hasła przed wąchaniem hasła, odtwarzania lub ataków prób i błędów.Ponadto klient odpowiada za częstotliwość i czas prób połączenia hasła.

Protokół uwierzytelniania hasła został przetransportowany przez bezpieczniejsze protokoły, takie jak protokół uścisku dłoni (ChAP) oraz protokół uwierzytelniania rozszerzonego (EAP).Bardziej bezpieczne protokoły wykorzystują techniki szyfrowania do celów uwierzytelniania.Chap jest używany przez serwery PPP.EAP jest używany zarówno przez sieci bezprzewodowe, jak i połączenia punkt-punkt.

Protokół uścisku dłoni wyzwania weryfikuje tożsamość klienta za pośrednictwem trójstronnego uścisku dłoni i udostępnionego sekretu.Po ustaleniu pierwszego linku zdalny serwer wysyła komunikat wyzwania do klienta.Klient oblicza funkcję skrótu jednokierunkowego, która łączy wyzwanie i sekret i wysyła funkcję skrótu z powrotem na serwer.

Serwer sprawdza wartość w stosunku do własnej wartości obliczonej i potwierdza połączenie, jeśli pasuje.Jeśli wartości skrótu nie są zgodne, połączenie zostało zakończone.Ta procedura jest powtarzana w losowych odstępach czasu, gdy klient i serwer są podłączone.

Rozszerzalny protokół uwierzytelniania jest frameworkiem uwierzytelniania, a nie prawdziwym protokołem uwierzytelniania.EAP tylko definiuje format wiadomości i zapewnia wspólne funkcje i negocjacje metod uwierzytelniania.Istnieje duża liczba protokołów EAP zdefiniowanych zarówno na żądanie komentarzy (RFC), jak i przez określonych dostawców.