'En av de få autentiseringsprotokollene som ikke sender en delt hemmelighet mellom brukeren eller den som ber om tilgang og autentiseringen, er Challenge-Handshake Authentication (CHAP). Det er en Point-to-Point Protocol (PPP) utviklet av Internet Engineering Task Force, IETF. Spesielt er det nyttig under første oppstart av koblinger og periodiske kontroller av kommunikasjon mellom ruteren og verten.
Derfor er CHAP en identitetsverifiseringsprotokoll som fungerer uten å sende en delt hemmelighet eller gjensidig hemmelighet mellom brukeren (tilgangsanmodende part) og autentikatoren (identitetsbekreftende part).
Mens den fortsatt er basert på en delt hemmelighet, sender autentiseringsenheten en utfordringsmelding til brukeren som ber om tilgang og ikke en delt hemmelighet. Den som ber om tilgang vil svare med en verdi som vanligvis beregnes ved å bruke enveis hash-verdien. Den identitetsbekreftende parten vil kontrollere svaret basert på dens beregning.
Autentisering vil bare være vellykket hvis verdiene samsvarer. Imidlertid vil autentiseringsprosessen mislykkes hvis den som ber om tilgang sender en verdi som er forskjellig fra autentiseringsenheten. Og selv etter vellykket tilkoblingsautentisering, kan autentiseringsenheten sende en utfordring til brukeren fra tid til annen for å opprettholde sikkerheten ved å begrense eksponeringstiden for mulige angrep.»
Hvordan CHAP fungerer
CHAP fungerer i følgende trinn:
1. En klient etablerer en PPP-kobling til en NAS (Network Access Server) som ber om autentisering.
2. Avsender sender en utfordring til den som ber om tilgang.
3. Den som ber om tilgang svarer på utfordringen ved å bruke MD5 enveis hash-algoritmen. I svaret vil klienten sende et brukernavn, sammen med kryptering av utfordringen, klientpassordet og økt-IDen.
4. Serveren (autentisering) vil sjekke svaret ved å sammenligne det med forventet hash-verdi basert på utfordringen.
5. Serveren starter en tilkobling hvis verdiene samsvarer. Den vil imidlertid avslutte forbindelsen hvis verdiene ikke stemmer overens. Selv ved tilkobling kan serveren fortsatt be klienten om å sende et svar på nye utfordringsmeldinger siden CHAP identifiserer endres ofte.
Topp 5 kjennetegn ved CHAP
CHAP har en rekke funksjoner som gjør den forskjellig fra andre protokoller. Funksjonene inkluderer:
-
- I motsetning til TCP, bruker CHAP en 3-veis handshaking-protokoll. Autentiseringsenheten sender en utfordring til klienten, og klienten svarer ved å bruke en enveis hash-funksjon. Autentiseringsenheten matcher svaret basert på dens beregnede verdi og gir eller nekter til slutt tilgang.
- Klienten bruker en MD5 enveis hash-funksjon.
- Serveren sjekker forbindelsen fra tid til annen og sender utfordringer til brukeren for å garantere sikkerhet og minimere angrep under økter.
- CHAP ber ofte om en klartekst av den gjensidige hemmeligheten.
- Variablene endres kontinuerlig, noe som gir nettverk mer sikkerhet enn PAP.
De 4 forskjellige CHAP-pakkene
CHAP-autentisering bruker følgende pakker:
-
- Utfordringspakke- Dette er pakken som autentiseringsenheten sender til klienten eller den som ber om tilgang når klienten oppretter en PPP-kobling. Denne pakken begynner i begynnelsen av 3-veis handshaking-protokollen. Den inneholder en identifikatorverdi, et felt for den tilfeldige verdien og et felt for autentiseringsnavnet.
- Svarpakke- Dette er svaret den tilgangsanmodende parten sender tilbake til autentiseringsenheten. Den har et verdifelt som inneholder den genererte enveis hashverdien, et navnefelt og en identifikatorverdi. Klientmaskinen vil automatisk sette navnefeltet til pakken til passordet.
- Suksesspakke- Serveren vil sende en suksesspakke hvis brukerens hash-svar samsvarer med verdiene beregnet av serveren. Når en server sender en suksesspakke, vil systemet opprette en tilkobling.
- Feilpakke – Serveren sender en feilpakke hvis den genererte verdien avviker. Dette innebærer også at det ikke vil være noen sammenheng.
Konfigurering av CHAP på autentiserings- og brukermaskiner
Følgende trinn er nødvendige når du konfigurerer CHAP:
en. Start kommandoene nedenfor på både server-/autentiserings- og brukermaskiner. Vanligvis vil disse alltid være peer-maskiner.
b. Endre vertsnavnene til begge maskinene ved å bruke kommandoen nedenfor. Skriv inn kommandoen i hver av peer-maskinene.
c. Til slutt, oppgi et brukernavn og passord for hver maskin ved å bruke kommandoen nedenfor.
Konklusjon
Spesielt utviklet utviklerne av CHAP utviklet CHAP denne protokollen for å beskytte systemer mot avspillingsangrep ved å sikre at den som ber om tilgang bruker en trinnvis skiftende variabel og identifikator. Dessuten kontrollerer autentiseringen tidspunktet og frekvensen for sending av utfordringer til en bruker eller en tilgangsanmodende part.