单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,*,*,专业化、规范化、标准化、电子化,单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,*,*,专业化、规范化、标准化、电子化专业化、规范化、标准化、电子化,单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,*,*,专业化、规范化、标准化、电子化,单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,*,*,专业化、规范化、标准化、电子化,单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,*,*,专业化、规范化、标准化、电子化,单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,*,*,专业化、规范化、标准化、电子化,单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,*,*,专业化、规范化、标准化、电子化,单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,*,*,专业化、规范化、标准化、电子化,单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,*,*,专业化、规范化、标准化、电子化,单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,*,*,专业化、规范化、标准化、电子化,单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,*,*,专业化、规范化、标准化、电子化,单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,*,*,专业化、规范化、标准化、电子化,单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,*,*,专业化、规范化、标准化、电子化,单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,*,*,专业化、规范化、标准化、电子化,2024/11/21,1,专业化、规范化、标准化、电子化,PPP,挑战握手认证协议,(CHAP),-RFC1994:PPP Challenge Handshake Authentication Protocol(CHAP),编制人：唐路俊,2011,年,7,月,有计划、有总结、有记录、有审核；,2023/9/211专业化、规范化、标准化、电子化PPP挑战,2024/11/21,2,专业化、规范化、标准化、电子化,课程定位与目标,讲义适用于测试人员学习,通过学习，了解CHAP认证的原理和过程。,2023/9/212专业化、规范化、标准化、电子化课程定位与,2024/11/21,3,专业化、规范化、标准化、电子化,5,4,3,2,1,目录,引言,练习,PAP,认证介绍,CHAP,认证原理,CHAP,数据包分析,2023/9/213专业化、规范化、标准化、电子化5 4 3,2024/11/21,4,专业化、规范化、标准化、电子化,引言,PPP,链路建立的过程：,阶段,1,：创建,PPP,链路,阶段,2,：用户验证,在这个阶段，客户端会将自己的身份发送给远端的接入服务器。该阶段使用一种安全验证方式避免第三方窃取数据或冒充远程客户接管与客户端的连接。在认证完成之前，禁止从认证阶段前进到网络层协议阶段。如果认证失败，认证者应该跃迁到链路终止阶段。,最常用的认证协议有密码认证协议（,PAP,）和挑战握手认证协议（,CHAP,）,阶段,3,：调用网络层协议,2023/9/214专业化、规范化、标准化、电子化引言PPP,2024/11/21,5,专业化、规范化、标准化、电子化,PAP,认证协议选择,2023/9/215专业化、规范化、标准化、电子化PAP认证,2024/11/21,6,专业化、规范化、标准化、电子化,CHAP,认证协议选择,2023/9/216专业化、规范化、标准化、电子化CHAP认,2024/11/21,7,专业化、规范化、标准化、电子化,PAP,认证,PAP：Password Authentication Protocol,原理：客户端直接发送包含用户名/口令的认证请求，服务器端处理并作回应。,优点：简单。,缺点：明文传送，极容易被窃听,2023/9/217专业化、规范化、标准化、电子化PAP认证,2024/11/21,8,专业化、规范化、标准化、电子化,PAP,认证过程,1.被验证方主动发起验证请求，将本端的用户名和口令发送到验证方；,2.验证方接到被验证方的验证请求后，检查此用户名是否存在以及口令是否正确。,2023/9/218专业化、规范化、标准化、电子化PAP认证,2024/11/21,9,专业化、规范化、标准化、电子化,CHAP,认证,CHAP,：,Challenge Handshake Authentication Protocol,原理：,被认证方使用服务器发送过来的挑战口令加上哈希算法对密码进行加密，将结果发送给服务器。服务器端进行同样的操作，并将结果与被认证方返回的结果进行比较。,2023/9/219专业化、规范化、标准化、电子化CHAP认,2024/11/21,10,专业化、规范化、标准化、电子化,CHAP,认证过程,1),验证方向被验证方发送一些随机产生的报文；,2),被验证方用自己的口令字和,MD5,算法对该随机报文进行加密，将生成的密文发回验证方；,3),验证方用自己保存的被验证方口令字和,MD5,算法对原随机报文加密，比较二者的密文，根据比较结果返回不同的响应。,2023/9/2110专业化、规范化、标准化、电子化CHAP,2024/11/21,11,专业化、规范化、标准化、电子化,示例,2023/9/2111专业化、规范化、标准化、电子化示例,2024/11/21,12,专业化、规范化、标准化、电子化,CHAP,数据包格式,+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-,|Code|Identifier|Length|,+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-,|Data.,+-+-+-+-+,Code,长度为,1,字节，指示,CHAP,包的类型，分配如下：,1,挑战,(Challenge),2,应答,(Response),3,成功,(Success),4,失败,(Failure),2023/9/2112专业化、规范化、标准化、电子化CHAP,2024/11/21,13,专业化、规范化、标准化、电子化,挑战和应答,挑战包是,CHAP,的开始，认证者必须传送代码字段为,1,的,CHAP,包，其他挑战 数据包必须在有效应答数据包成功接收之后或者可选重试计数器计满后发送。,为了确保连接没有被更改，挑战包也可以在,NLP,阶段的任何时候发送。,对端应该随时为认证阶段和,NLP,阶段的挑战做好准备，任何时候收到挑战包，对端都必须传送代码字段为,2,（应答）的,CHAP,数据包。,无论何时，如果收到应答包，认证者都必须把应答值和自己计算的预期值比较，基于这种比较，认证者必须发送成功（,Success,）或者失败（,Failure,）,CHAP,包。,2023/9/2113专业化、规范化、标准化、电子化挑战和应,2024/11/21,14,专业化、规范化、标准化、电子化,CHAP,数据包,挑战（,Challenge,）,2023/9/2114专业化、规范化、标准化、电子化CHAP,2024/11/21,15,专业化、规范化、标准化、电子化,CHAP,数据包,挑战（,Challenge,）,Identifier,：,标识字段一字节，每次发送挑战都必须要改变标识字段的值。,应答标识必须由响应的挑战标识字段拷贝得来。,Value,挑战值是可变字节流，挑战值必须在每次发送挑战时都要改变。挑战值的具体长度由产生它的方法而定，独立于所用的哈希算法。,2023/9/2115专业化、规范化、标准化、电子化CHAP,2024/11/21,16,专业化、规范化、标准化、电子化,CHAP,数据包,应答（,Response,）,2023/9/2116专业化、规范化、标准化、电子化CHAP,2024/11/21,17,专业化、规范化、标准化、电子化,CHAP,数据包,应答（,Response,）,Name,名字字段一个或多个字节，代表传输数据包的系统的标识，字段内容没有 限制，如，可以是,ASCII,字串，或者是全局唯一的,ASN.1,标识，名字不应该 是,NUL,或者,CR/LF,终止符。其长度由长度字段确定。,2023/9/2117专业化、规范化、标准化、电子化CHAP,2024/11/21,18,专业化、规范化、标准化、电子化,成功与失败,如果接收到的应答值等于预期值，那么认证者必须传送代码字段为,3,（成功）的,CHAP,数据包。,如果接收到的应答值不等于预期值，那么认证者必须传送代码字段为,4,（失败）的,CHAP,数据包，并且应该终止链路。,2023/9/2118专业化、规范化、标准化、电子化成功与失,2024/11/21,19,专业化、规范化、标准化、电子化,CHAP,数据包,成功,(Success),2023/9/2119专业化、规范化、标准化、电子化CHAP,2024/11/21,20,专业化、规范化、标准化、电子化,CHAP,数据包,失败,(Failure),2023/9/2120专业化、规范化、标准化、电子化CHAP,2024/11/21,21,专业化、规范化、标准化、电子化,总结,CHAP为三次握手验证,CHAP对PAP进行了改进，不再直接通过链路发送明文口令，而是使用挑战口令以哈希算法对口令进行加密。因为服务器端存有客户的明文口令，所以服务器可以重复客户端进行的操作，并将结果与用户返回的口令进行对照。,CHAP为每一次验证任意生成一个挑战字串来防止受到重放攻击。在整个连接过程中，CHAP将不定时的向客户端重复发送挑战口令，从而避免第3方冒充远程客户进行攻击。,2023/9/2121专业化、规范化、标准化、电子化总结 C,2024/11/21,22,专业化、规范化、标准化、电子化,思考,服务器和客户端使用的密钥如何统一？,2023/9/2122专业化、规范化、标准化、电子化思考服务,2024/11/21,23,专业化、规范化、标准化、电子化,腾达与你共同发展,谢谢大家！,2023/9/2123专业化、规范化、标准化、电子化腾达与你,