โปรโตคอลการพิสูจน์ตัวตนด้วยรหัสผ่านคืออะไร?

โปรโตคอลการตรวจสอบรหัสผ่านเป็นวิธีการส่งรหัสผ่านทางเครือข่าย รหัสผ่านจะถูกส่งแบบไม่เข้ารหัสหลังจากทำการเชื่อมโยงเริ่มต้นกับคอมพิวเตอร์ระยะไกล โปรโตคอลนี้ไม่ถือว่าปลอดภัยและใช้เฉพาะเมื่อเชื่อมต่อกับคอมพิวเตอร์ Unix รุ่นเก่าที่ไม่สนับสนุนการตรวจสอบความปลอดภัยที่มากขึ้น

การเชื่อมต่อเริ่มต้นทำผ่านการจับมือสองทาง เมื่อสร้างลิงค์เริ่มต้นแล้วคู่ ID / รหัสผ่านจะถูกส่งไปยังเซิร์ฟเวอร์ระยะไกล คำขอการตรวจสอบความถูกต้องจะถูกส่งซ้ำ ๆ จากลูกค้าจนกว่าจะมีการตอบรับหรือยกเลิกคำขอ ในการยอมรับรหัสผ่านเซิร์ฟเวอร์ระยะไกลจะต้องส่งแพ็กเก็ตโปรโตคอลการตรวจสอบรหัสผ่านด้วยชุดรหัสเพื่อรับรองความถูกต้อง หากรหัสผ่านไม่เป็นที่ยอมรับเซิร์ฟเวอร์ระยะไกลจะต้องส่งแพ็กเก็ตโปรโตคอลการตรวจสอบรหัสผ่านด้วยชุดรหัสเพื่อรับรองความถูกต้อง - nak และการเชื่อมต่อถูกยกเลิก

โปรโตคอลการพิสูจน์ตัวตนรหัสผ่านถือเป็นวิธีที่ไม่ปลอดภัยในการส่งรหัสผ่าน รหัสผ่านจะถูกส่งข้ามเครือข่ายในรูปแบบข้อความล้วนและสามารถอ่านได้ง่ายจากแพ็คเก็ตแบบจุดต่อจุด (PPP) ไม่มีอุปกรณ์ป้องกันในการรักษาความปลอดภัยรหัสผ่านจากการสูดดมรหัสผ่านการเล่นหรือการทดลองและข้อผิดพลาด นอกจากนี้ลูกค้ายังรับผิดชอบความถี่และเวลาในการพยายามเชื่อมต่อรหัสผ่าน

โปรโตคอลการพิสูจน์ตัวตนด้วยรหัสผ่านนั้นล้าสมัยแล้วโดยโปรโตคอลที่ปลอดภัยกว่าเช่น Challenge Handshake Protocol (CHAP) และ Extensible Authentication Protocol (EAP) โปรโตคอลที่ปลอดภัยยิ่งขึ้นใช้เทคนิคการเข้ารหัสเพื่อจุดประสงค์ในการตรวจสอบสิทธิ์ CHAP ใช้โดยเซิร์ฟเวอร์ PPP EAP ใช้ทั้งเครือข่ายไร้สายและการเชื่อมต่อแบบจุดต่อจุด

โปรโตคอล Challenge Handshake ตรวจสอบตัวตนของลูกค้าผ่านการจับมือสามทางและความลับที่ใช้ร่วมกัน หลังจากสร้างลิงก์เริ่มต้นแล้วรีโมตเซิร์ฟเวอร์จะส่งข้อความท้าทายไปยังลูกค้า ไคลเอ็นต์คำนวณฟังก์ชันแฮชทางเดียวซึ่งรวมการท้าทายและความลับและส่งฟังก์ชันแฮชกลับไปที่เซิร์ฟเวอร์

เซิร์ฟเวอร์จะตรวจสอบค่าเทียบกับค่าที่คำนวณได้ของตัวเองและยอมรับการเชื่อมต่อถ้ามันตรงกัน หากค่าแฮชไม่ตรงกันการเชื่อมต่อจะยุติลง ขั้นตอนนี้จะทำซ้ำในช่วงเวลาสุ่มในขณะที่ลูกค้าและเซิร์ฟเวอร์มีการเชื่อมต่อ

โพรโทคอลการรับรองความถูกต้อง Extensible เป็นเฟรมเวิร์กการรับรองความถูกต้องไม่ใช่โพรโทคอลการรับรองความถูกต้องที่แท้จริง EAP กำหนดรูปแบบข้อความเท่านั้นและมีหน้าที่ทั่วไปและการเจรจาต่อรองของวิธีการตรวจสอบสิทธิ์ มีโปรโตคอล EAP จำนวนมากที่กำหนดโดยทั้งคำขอความคิดเห็น (RFCs) และโดยผู้ขายที่เฉพาะเจาะจง