「ユーザーまたはアクセス要求者とオーセンティケーターの間で共有シークレットを送信しない数少ない認証プロトコルの 1 つは、チャレンジ ハンドシェイク認証 (CHAP) です。これは、Internet Engineering Task Force (IETF) によって開発された Point-to-Point Protocol (PPP) です。特に、最初のリンクの起動時や、ルーターとホスト間の通信の定期的なチェック時に役立ちます。
したがって、CHAP は、ユーザー (アクセス要求側) とオーセンティケーター (身元確認側) の間で共有シークレットまたは相互シークレットを送信せずに機能する身元確認プロトコルです。
オーセンティケータは共有シークレットに基づいていますが、共有シークレットではなく、アクセスを要求しているユーザーにチャレンジ メッセージを送信します。アクセス要求者は、通常は一方向ハッシュ値を使用して計算された値で応答します。 ID 検証側は、その計算に基づいて応答を確認します。
値が一致する場合にのみ認証が成功します。ただし、アクセス要求側がオーセンティケータの値とは異なる値を送信した場合、認証プロセスは失敗します。また、接続認証が成功した後でも、攻撃の可能性にさらされる時間を制限することでセキュリティを維持するために、オーセンティケーターは時々ユーザーにチャレンジを送信する場合があります。」
CHAP の仕組み
CHAP は次の手順で機能します。
1. クライアントは、認証を要求する NAS (ネットワーク アクセス サーバー) への PPP リンクを確立します。
2. 送信者は、アクセス要求側にチャレンジを送信します。
3. アクセス要求者は、MD5 一方向ハッシュ アルゴリズムを使用してチャレンジに応答します。応答では、クライアントはチャレンジの暗号化、クライアント パスワード、およびセッション ID とともにユーザー名を送信します。
4. サーバー (認証者) は、チャレンジに基づいて予想されるハッシュ値と比較して、応答をチェックします。
5. 値が一致すると、サーバーは接続を開始します。ただし、値が一致しない場合は接続を終了します。接続時であっても、CHAP は頻繁に変更を識別するため、サーバーはクライアントに新しいチャレンジ メッセージへの応答を送信するように要求できます。
CHAP の上位 5 つの特徴
CHAP には、他のプロトコルとは異なる一連の機能があります。機能は次のとおりです。
-
- TCP とは異なり、CHAP は 3 ウェイ ハンドシェイク プロトコルを使用します。オーセンティケータはクライアントにチャレンジを送信し、クライアントは一方向ハッシュ関数を使用して応答します。オーセンティケーターは、計算された値に基づいて応答を照合し、最終的にアクセスを許可または拒否します。
- クライアントは MD5 一方向ハッシュ関数を使用します。
- サーバーは時々接続をチェックし、チャレンジをユーザーに送信して、セキュリティを保証し、セッション中の攻撃を最小限に抑えます。
- CHAP は、相互秘密の平文を要求することがよくあります。
- 変数は継続的に変化するため、ネットワークは PAP よりもセキュリティが高くなります。
4 つの異なる CHAP パケット
CHAP 認証では、次のパケットが使用されます。
-
- チャレンジパック- これは、クライアントが PPP リンクを作成すると、オーセンティケータがクライアントまたはアクセス要求側に送信するパケットです。このパケットは、3 ウェイ ハンドシェーク プロトコルの最初から始まります。これには、識別子の値、ランダム値のフィールド、およびオーセンティケーターの名前のフィールドが含まれています。
- 応答パケット- これは、アクセス要求側がオーセンティケータに返す応答です。これには、生成された一方向ハッシュ値を含む Value フィールド、名前フィールド、および識別子値があります。クライアント マシンは、パケットの名前フィールドを自動的にパスワードに設定します。
- 成功パケット- ユーザーのハッシュ応答がサーバーによって計算された値と一致する場合、サーバーは成功パケットを送信します。サーバーが成功パケットを送信すると、システムは接続を確立します。
- 失敗パケット – 生成された値が異なる場合、サーバーは失敗パケットを送信します。これは、接続がないことも意味します。
認証マシンとユーザー マシンでの CHAP の構成
CHAP を構成するには、次の手順が必要です。
を。サーバー/認証マシンとユーザー マシンの両方で、以下のコマンドを開始します。通常、これらは常にピア マシンです。
b.以下のコマンドを使用して、両方のマシンのホスト名を変更します。各ピア マシンでコマンドを入力します。
c.最後に、以下のコマンドを使用して、各マシンのユーザー名とパスワードを指定します。
結論
特に、CHAP の開発者は、CHAP がこのプロトコルを設計して、アクセスを要求する側が段階的に変化する変数と識別子を使用するようにすることで、再生攻撃からシステムを保護するようにしました。さらに、オーセンティケーターは、ユーザーまたはアクセス要求者にチャレンジを送信するタイミングと頻度を制御します。