Co to jest protokół uwierzytelniania hasła?
Protokół uwierzytelniania haseł to sposób wysyłania haseł przez sieć. Hasła są wysyłane niezaszyfrowane po wykonaniu początkowego linku do komputera zdalnego. Ten protokół nie jest uważany za bezpieczny i jest używany tylko przy łączeniu się ze starszym komputerem Unix, który nie obsługuje bezpieczniejszego uwierzytelnienia.
Początkowe połączenie jest wykonane przez dwukierunkowy uścisk dłoni. Po ustaleniu początkowego linku, a następnie para identyfikatora/hasła jest wysyłana na zdalny serwer. Żądanie uwierzytelniania jest wysyłane wielokrotnie od klienta, dopóki żądanie nie zostanie uznane lub zakończone. Aby zaakceptować hasło, zdalny serwer musi przesyłać pakiet protokołu uwierzytelniania hasła z zestawem kodu do Authenticate-ACK. Jeśli hasło nie jest akceptowane, zdalny serwer musi przesyłać pakiet protokołu uwierzytelniania hasła z zestawem kodu do uwierzytelnienia-NAK, a połączenie jest zakończone.
Protokół uwierzytelniania hasła jest uważany za niepewną metodę transmisjiItting Hasnass. Hasła są wysyłane przez sieć w formularzu zwykłego tekstu i są łatwo czytelne z pakietów protokołu punkt-punkt (PPP). Nie ma urządzeń ochronnych do zabezpieczenia hasła przed wąchaniem hasła, odtwarzania lub ataków prób i błędów. Ponadto klient jest odpowiedzialny za częstotliwość i czas prób połączenia hasła.
Protokół uwierzytelniania hasła został przestarzały przez bezpieczniejsze protokoły, takie jak protokół uścisku dłoni (Chap) i protokół uwierzytelniania rozszerzonego (EAP). Bardziej bezpieczne protokoły wykorzystują techniki szyfrowania do celów uwierzytelniania. Chap jest używany przez serwery PPP. EAP jest używany zarówno przez sieci bezprzewodowe, jak i połączenia punktowe.
Protokół uścisku dłoni weryfikuje tożsamość klienta za pośrednictwem trójstronnego uścisku dłoni i wspólnego tajemnicy. Po ustaleniu pierwszego linku pilotaSerwer wysyła komunikat wyzwania do klienta. Klient oblicza funkcję skrótu jednokierunkowego, która łączy wyzwanie i sekret i wysyła funkcję skrótu z powrotem na serwer.
Serwer sprawdza wartość w stosunku do własnej wartości obliczonej i potwierdza połączenie, jeśli pasuje. Jeśli wartości skrótu nie są zgodne, połączenie zostało zakończone. Ta procedura jest powtarzana w losowych odstępach czasu, gdy klient i serwer są podłączone.
Rozszerzalny protokół uwierzytelniania jest frameworkiem uwierzytelniania, a nie prawdziwym protokołem uwierzytelniania. EAP tylko definiuje format wiadomości i zapewnia wspólne funkcje i negocjacje metod uwierzytelniania. Istnieje duża liczba protokołów EAP zdefiniowanych zarówno na żądanie komentarzy (RFC), jak i przez określonych dostawców.