Co to jest protokół uwierzytelniania hasła?

Protokół uwierzytelniania hasła to sposób wysyłania haseł przez sieć. Hasła są wysyłane niezaszyfrowane po utworzeniu wstępnego łącza z komputerem zdalnym. Ten protokół nie jest uważany za bezpieczny i jest używany tylko podczas łączenia się ze starszym komputerem z systemem Unix, który nie obsługuje bardziej bezpiecznego uwierzytelniania.

Początkowe połączenie odbywa się poprzez dwukierunkowy uścisk dłoni. Po ustanowieniu początkowego łącza, a następnie para ID / hasło jest wysyłana do zdalnego serwera. Żądanie uwierzytelnienia jest wysyłane wielokrotnie od klienta, dopóki żądanie nie zostanie potwierdzone lub zakończone. Aby zaakceptować hasło, serwer zdalny musi przesłać pakiet protokołu uwierzytelniania hasła z ustawionym kodem uwierzytelniania-potwierdzenia. Jeśli hasło nie zostanie zaakceptowane, serwer zdalny musi przesłać pakiet protokołu uwierzytelniania hasła z ustawionym kodem uwierzytelniania-nak, a połączenie zostanie zakończone.

Protokół uwierzytelniania hasła jest uważany za niezabezpieczoną metodę przesyłania haseł. Hasła są przesyłane przez sieć w postaci zwykłego tekstu i są łatwe do odczytania z pakietów protokołu PPP (Point-to-Point Protocol). Nie ma żadnych urządzeń zabezpieczających, które zabezpieczyłyby hasło przed wąchaniem hasła, odtwarzaniem lub atakami prób i błędów. Ponadto klient odpowiada za częstotliwość i czas prób nawiązania połączenia za pomocą hasła.

Protokół uwierzytelniania hasła jest przestarzały z powodu bardziej bezpiecznych protokołów, takich jak Challenge Handshake Protocol (CHAP) i Extensible Authentication Protocol (EAP). Bardziej bezpieczne protokoły wykorzystują techniki szyfrowania do celów uwierzytelniania. CHAP jest używany przez serwery PPP. Protokół EAP jest wykorzystywany zarówno przez sieci bezprzewodowe, jak i połączenia punkt-punkt.

Challenge Handshake Protocol weryfikuje tożsamość klienta za pomocą trójstronnego uzgadniania i wspólnego sekretu. Po ustanowieniu początkowego łącza zdalny serwer wysyła komunikat z wezwaniem do klienta. Klient oblicza jednokierunkową funkcję skrótu, która łączy wyzwanie i sekret i wysyła funkcję skrótu z powrotem na serwer.

Serwer sprawdza wartość względem własnej wartości obliczonej i potwierdza połączenie, jeśli jest zgodne. Jeśli wartości skrótu nie są zgodne, połączenie zostaje zakończone. Ta procedura jest powtarzana w przypadkowych odstępach czasu, gdy klient i serwer są połączone.

Extensible Authentication Protocol to struktura uwierzytelniania, a nie prawdziwy protokół uwierzytelniania. Protokół EAP określa tylko format wiadomości i zapewnia typowe funkcje oraz negocjowanie metod uwierzytelniania. Istnieje wiele protokołów EAP zdefiniowanych zarówno przez RFC (Request for Comments), jak i przez określonych dostawców.