Kurzfassung
Das Password Authentication Protocol (PAP) ist eine einfache, passwortbasierte Methode, die innerhalb von Point-to-Point Protocol (PPP)-Verbindungen verwendet wird, um die Benutzeridentität über einen Zwei-Wege-Handshake zu überprüfen. Da Anmeldedaten als unverschlüsselter Klartext übertragen werden, gilt PAP als schwaches Authentifizierungsverfahren und ist anfällig für das Abfangen. Das Challenge-Handshake Authentication Protocol (CHAP) wurde entwickelt, um diese Schwachstellen zu beheben, indem es einen Drei-Wege-Handshake und kryptografisches Hashing verwendet, anstatt Passwörter über das Netzwerk zu senden. Als Best-Practice gilt es, Systeme so zu konfigurieren, dass sie zunächst CHAP versuchen und nur bei Bedarf auf PAP zurückgreifen.
Was ist PAP und wie funktioniert es?
PAP ist eine PPP-Authentifizierungsmethode, die Passwörter zur Validierung von Nutzern verwendet. Es ist ein passwortbasiertes Authentifizierungsprotokoll nach Internet-Standard (Request for Comments (RFC 1334)).
Bei der Verwendung von PAP werden Daten nicht verschlüsselt. Es wird als Klartext an den Authentifizierungsserver gesendet. PAP verwendet einen Zwei-Wege-Handshake, um Benutzer:innen anhand ihres angegebenen Benutzernamens und Passworts zu authentifizieren. Es ist leicht zu implementieren und eine einfache Methode zur Authentifizierung.
Mithilfe eines Zwei-Wege-Handshakes authentifiziert PAP Benutzer:innen in zwei Schritten, die wie folgt ablaufen:
- Der Benutzer oder Client, der versucht, eine PPP-Session mit dem Server aufzubauen, sendet über ein Authentifizierungsanfragepaket einen Benutzernamen und ein Passwort an den Server.
- Wenn der Server Anfragen entgegennimmt, akzeptiert er diese Anmeldedaten und überprüft, ob sie mit den im System gespeicherten Daten übereinstimmen. Wenn eine Übereinstimmung verifiziert wurde, wird ein Authentication-ACK-Antwortpaket an den Benutzer zurückgesendet und der Server baut die PPP-Session zwischen dem Server und dem Benutzer auf. Wenn die Anmeldedaten nicht übereinstimmen, wird die PPP-Session nicht aufgebaut und ein Authorization-NAK-Antwortpaket an den Benutzer zurückgesendet.
Das Passwort-Authentifizierungsprotokoll sendet Daten im Klartext, was sie anfällig für Paket-Sniffer -Angriffe macht, bei denen Angreifer den Netzwerkverkehr abfangen, die PPP-Session einsehen und Benutzernamen sowie Passwörter stehlen können. Es gibt Möglichkeiten, PAP-Authentifizierungsanfragen über verschlüsselte Kanäle zu senden, aber stattdessen werden häufig alternative Methoden wie CHAP verwendet.
Wie überträgt PAP Anmeldedaten?
Bei der Verwendung in PPP gilt das Passwort-Authentifizierungsprotokoll als schwaches Authentifizierungsverfahren. Da die Daten unverschlüsselt sind, sind sie angreifbar und für Angreifer sichtbar, die die PPP-Sitzung einsehen können.
Die Verwendung von CHAP kann der PPP-Session durch ein Drei-Wege-Handshake-Verfahren eine zusätzliche Sicherheitsebene hinzufügen. PAP ist ein Standard-Anmeldeverfahren, das als PPP-Methode zur Authentifizierung von Benutzer:innen verwendet wird.
Wo wird PAP verwendet?
Anstatt dass der Server eine Anmeldeaufforderung sendet und dann auf die Antwort des Benutzers wartet, werden bei PAP der Benutzername und das Passwort in einem Paket des Link Control Protocol (LCP) an einen Remote-Access-Server gesendet. Weitere Einsatzbereiche von PAP:
- Fälle, in denen CHAP nicht unterstützt wird (nicht jede Software unterstützt CHAP)
- Bei der Simulation einer Anmeldung an einem Remote-Host, für den ein einfaches Klartext-Passwort verfügbar sein muss
- Im Falle von Inkonsistenzproblemen, etwa wenn verschiedene Anbieter unterschiedliche Implementierungen von CHAP aufweisen
Was ist der Unterschied zwischen PAP und CHAP?
PAP und CHAP unterscheiden sich in ihrem Handshake-Prozess, der Art der Übertragung von Anmeldedaten und dem jeweils gebotenen Sicherheitsniveau. Die folgende Tabelle fasst die wichtigsten Unterschiede zusammen, die sich aus den bestehenden Inhalten ergeben:
| Feature | PAP | CHAP |
|---|---|---|
| Handshake-Typ | Zwei Wege | Drei-Wege |
| Passwortübertragung | Als Klartext über das Netzwerk gesendet | Niemals über das Netzwerk übertragen |
| Verschlüsselungsmethode | – | Kryptografischer Einweg-Hash mit gemeinsam genutztem geheimen Schlüssel |
| Reauthentifizierung während der Sitzung | Nicht unterstützt | Unterstützt – kann während der Sitzung wiederholt ausgeführt werden |
| Sicherheitsstufe | Schwach; anfällig für Paket-Sniffing | Stärker; behebt PAP-Schwachstellen |
Warum wurde CHAP entwickelt?
CHAP wurde entwickelt, um Sicherheitslücken in der Point-to-Point-Authentifizierungsmethode PAP zu beheben.
Im Gegensatz zu PAP sendet CHAP das Passwort nicht über das Netzwerk. Stattdessen verwendet CHAP kryptografische Methoden, zu denen die Verwendung eines verschlüsselten Hashs gehört, für den sowohl der Server als auch der Client den geheimen Schlüssel besitzen.
CHAP kann auch so eingerichtet werden, dass Authentifizierungen während der Sitzung wiederholt durchgeführt werden, um Angreifer:innen daran zu hindern, eine PPP-Verbindung mitten in der Sitzung zu übernehmen, wenn ein Port nach der Trennung des Remote-Geräts offen geblieben ist. CHAP fügt der PPP-Session Sicherheitsfunktionen hinzu, die PAP nicht bietet.
Funktionsweise von CHAP
Der CHAP-Drei-Wege-Handshake-Prozess läuft in den folgenden drei Schritten ab:
- Der Authentifikator sendet eine Authentifizierungs-Herausforderung, nachdem die Verbindung hergestellt wurde. Der Netzwerkkonzessionsserver führt eine Hostnamenabfrage beim Benutzer durch und sendet eine "Challenge-Anfrage", die eine zufällig generierte Herausforderungszeichenfolge enthält, an den Benutzer, um die CHAP-Authentifizierung zu starten.
- Der Benutzer führt dann eine Hostname-Abfrage durch. Der Benutzer verwendet das Passwort, das sowohl ihm als auch dem Server bekannt ist, um einen verschlüsselten Einweg-Hash zu erstellen. Dieser verschlüsselte Hash basiert auf der Herausforderungszeichenfolge.
- Als Nächstes überprüft der Server den Hash, indem er ihn entschlüsselt, um sicherzustellen, dass er mit der ursprünglichen Herausforderungszeichenfolge übereinstimmt. Wenn die Zeichenfolgen übereinstimmen, wird eine Nachricht über die erfolgreiche Authentifizierung gesendet, und die PPP-Session wird aufgebaut. Wenn die Zeichenfolgen nicht übereinstimmen, wird eine Authentifizierungsfehlermeldung generiert und die Sitzung beendet.
PPP kann zur Authentifizierung entweder PAP oder CHAP verwenden. Obwohl sie nicht direkt zusammenarbeiten können, können Protokolle mit beiden interagieren. Beispielsweise kann ein Administrator das Kommunikationsprotokoll so konfigurieren, dass zunächst eine Authentifizierung über das sicherere CHAP versucht wird und bei Bedarf auf PAP ausgewichen wird.
Häufig gestellte Fragen
Warum gilt das Passwort-Authentifizierungsprotokoll (PAP) als schwache Authentifizierungsmethode?
PAP überträgt Benutzernamen und Passwörter während des Zwei-Wege-Handshake-Prozesses als unverschlüsselten Klartext. Dadurch werden die Anmeldedaten für alle sichtbar, die die PPP-Session abfangen können, was sie anfällig für Paketsniffer-Angriffe macht, bei denen Angreifer:innen Anmeldeinformationen stehlen können.
Wann würde ein System das Passwort-Authentifizierungsprotokoll (PAP) anstelle des Challenge-Handshake-Authentifizierungsprotokolls (CHAP) verwenden?
PAP wird in der Regel verwendet, wenn CHAP von der verwendeten Software nicht unterstützt wird, wenn ein Remote-Host ein einfaches Klartext-Passwort erfordert, um einen Login zu simulieren, oder wenn Inkonsistenzen auftreten, weil verschiedene Anbieter CHAP auf unterschiedliche Weise implementieren.
Was ist der wesentliche technische Unterschied zwischen dem Passwort-Authentifizierungsprotokoll (PAP) und dem Challenge-Handshake-Authentifizierungsprotokoll (CHAP)?
PAP verwendet einen Zwei-Wege-Handshake und sendet das Passwort als Klartext direkt über das Netzwerk. CHAP verwendet einen Drei-Wege-Handshake und überträgt niemals das Passwort – stattdessen nutzt es einen kryptografischen Einweg-Hash, der auf einer Herausforderungszeichenfolge basiert, wobei sowohl der Server als auch der Client einen gemeinsamen geheimen Schlüssel teilen.
Können das Password Authentication Protocol (PAP) und das Challenge-Handshake Authentication Protocol (CHAP) zusammen im selben System verwendet werden?
PAP und CHAP können nicht direkt zusammenarbeiten, aber ein System kann so konfiguriert werden, dass es zunächst eine CHAP-Authentifizierung versucht und auf PAP zurückgreift, falls CHAP nicht verfügbar ist. Dieser Ansatz maximiert die Sicherheit bei gleichzeitiger Wahrung der Kompatibilität.
Was ist die Re-Authentifizierung während der Sitzung im Challenge-Handshake-Authentifizierungsprotokoll (CHAP) und warum ist sie wichtig?
CHAP kann so konfiguriert werden, dass Authentifizierungsprüfungen während einer aktiven Session wiederholt durchgeführt werden, nicht nur bei der Anmeldung. Dies verhindert, dass Angreifer:innen eine offene PPP-Verbindung während der Sitzung kapern – beispielsweise wenn ein Port geöffnet bleibt, nachdem ein Remote-Gerät die Verbindung getrennt hat – eine Schwachstelle, die PAP nicht behebt.
Wie schützt der Drei-Wege-Handshake des Challenge-Handshake Authentication Protocol (CHAP) Anmeldedaten?
Nachdem eine Verbindung hergestellt wurde, sendet der Authentifikator eine zufällig generierte Herausforderungszeichenfolge an den Benutzer. Der Benutzer erstellt mit dieser Herausforderungszeichenfolge und einem gemeinsamen geheimen Passwort einen verschlüsselten Einweg-Hash und sendet den Hash anschließend zurück. Der Server entschlüsselt und überprüft den Hash anhand der ursprünglichen Herausforderungszeichenfolge – das tatsächliche Passwort wird zu keinem Zeitpunkt über das Netzwerk übertragen.
Weitere Ressourcen
Weitere Informationen zum Point-to-Point-Protokoll finden Sie hier. Weitere Informationen zu den Unterschieden zwischen PAP und CHAP finden Sie hier und Informationen zur Bearbeitung der PPP-Pfadkonfigurationsdatei (ppp.conf) hier.
CHAP gilt als sicherer als das Passwort-Authentifizierungsprotokoll. Nach Möglichkeit sollte CHAP zuerst aktiviert werden, mit PAP als Backup.
Referenzen
PPP-Authentifizierungsprotokolle. (Oktober 1992). Internet Engineering Task Force (IETF).
Sniffing-Angriffe und wie Sie sich davor schützen. (September 2021). Ciso Mag.
Punkt-zu-Punkt-Protokoll-Netzwerk. (2012). Embedded Software (Zweite Auflage).
Peer-Authentifizierung mit PAP und CHAP. (2010). Oracle Corporation.
Bearbeiten der PPP-Pfad-Konfigurationsdatei (ppp.conf). (2010). Oracle Corporation.
