“Jedan od rijetkih autentifikacijskih protokola koji ne šalju zajedničku tajnu između korisnika ili strane koja zahtijeva pristup i autentifikatora je Challenge-Handshake Authentication (CHAP). To je Point-to-Point Protocol (PPP) koji je razvila Internet Engineering Task Force, IETF. Posebno je koristan tijekom početnog pokretanja veze i periodičnih provjera komunikacije između usmjerivača i glavnog računala.
Stoga je CHAP protokol za provjeru identiteta koji radi bez slanja zajedničke tajne ili zajedničke tajne između korisnika (strane koja traži pristup) i autentifikatora (strane koja provjerava identitet).
Dok se i dalje temelji na dijeljenoj tajni, autentifikator šalje zahtjevnu poruku korisniku tražeći pristup, a ne dijeljenu tajnu. Strana koja traži pristup odgovorit će vrijednošću koja se obično izračunava korištenjem jednosmjerne hash vrijednosti. Strana koja potvrđuje identitet provjerit će odgovor na temelju svog izračuna.
Autentifikacija će biti uspješna samo ako se vrijednosti podudaraju. Međutim, postupak provjere autentičnosti neće uspjeti ako strana koja zahtijeva pristup pošalje vrijednost koja se razlikuje od one autentifikatora. Čak i nakon uspješne provjere autentičnosti veze, autentifikator može s vremena na vrijeme poslati zahtjev korisniku kako bi održao sigurnost ograničavanjem vremena izloženosti mogućim napadima.”
Kako CHAP radi
CHAP radi u sljedećim koracima:
1. Klijent uspostavlja PPP vezu na NAS (Network Access Server) zahtijevajući autentifikaciju.
2. Pošiljatelj šalje zahtjev strani koja traži pristup.
3. Strana koja zahtijeva pristup odgovara na izazov koristeći MD5 jednosmjerni hash algoritam. U odgovoru, klijent će poslati korisničko ime, uz enkripciju izazova, lozinku klijenta i ID sesije.
4. Poslužitelj (autentifikator) će provjeriti odgovor uspoređujući ga s očekivanom hash vrijednošću na temelju svog izazova.
5. Poslužitelj inicira vezu ako se vrijednosti podudaraju. Međutim, prekinut će vezu ako se vrijednosti ne podudaraju. Čak i nakon povezivanja, poslužitelj i dalje može zahtijevati od klijenta da pošalje odgovor na nove izazovne poruke budući da CHAP često identificira promjene.
Top 5 karakteristika CHAP-a
CHAP ima niz značajki koje ga čine drugačijim od ostalih protokola. Značajke uključuju:
-
- Za razliku od TCP-a, CHAP koristi trosmjerni protokol rukovanja. Autentifikator šalje zahtjev klijentu, a klijent odgovara pomoću jednosmjerne hash funkcije. Autentifikator uspoređuje odgovor na temelju njegove izračunate vrijednosti i na kraju odobrava ili odbija pristup.
- Klijent koristi MD5 jednosmjernu hash funkciju.
- Poslužitelj s vremena na vrijeme provjerava vezu i šalje zahtjeve korisniku kako bi zajamčio sigurnost i minimizirao napade tijekom sesija.
- CHAP često traži otvoren tekst zajedničke tajne.
- Varijable se neprestano mijenjaju, dajući mrežama veću sigurnost od PAP-a.
4 različita CHAP paketa
CHAP provjera autentičnosti koristi sljedeće pakete:
-
- Paket izazova - Ovo je paket koji autentifikator šalje klijentu ili strani koja zahtijeva pristup nakon što klijent stvori PPP vezu. Ovaj paket počinje na početku protokola trosmjernog rukovanja. Sadrži vrijednost identifikatora, polje za slučajnu vrijednost i polje za ime autentifikatora.
- Paket odgovora- Ovo je odgovor koji strana koja zahtijeva pristup šalje natrag autentifikatoru. Ima polje vrijednosti koje sadrži generiranu jednosmjernu hash vrijednost, polje imena i vrijednost identifikatora. Stroj klijenta automatski će postaviti polje imena paketa na lozinku.
- Paket uspjeha- Poslužitelj će poslati paket uspjeha ako korisnikov hash odgovor odgovara vrijednostima koje je izračunao poslužitelj. Nakon što poslužitelj pošalje paket uspjeha, sustav će uspostaviti vezu.
- Paket greške – Poslužitelj šalje paket greške ako se generirana vrijednost razlikuje. To također implicira da neće biti veze.
Konfiguriranje CHAP-a na autentifikacijskim i korisničkim strojevima
Prilikom konfiguracije CHAP-a potrebni su sljedeći koraci:
a. Pokrenite donje naredbe i na poslužitelju/provjeri autentičnosti i na korisničkom računalu. Obično će to uvijek biti ravnopravni strojevi.
b. Promijenite nazive računala oba računala pomoću donje naredbe. Upišite naredbu u svaki od ravnopravnih strojeva.
c. Na kraju, unesite korisničko ime i lozinku za svako računalo pomoću donje naredbe.
Zaključak
Značajno je da su programeri CHAP-a razvili CHAP koji je dizajnirao ovaj protokol za zaštitu sustava od napada reprodukcijom osiguravajući da strana koja zahtijeva pristup koristi varijablu i identifikator koji se postupno mijenjaju. Osim toga, autentifikator kontrolira vrijeme i učestalost slanja izazova korisniku ili strani koja zahtijeva pristup.