Здесь приводится краткое изложение ключевых аспектов РАР. Первое — пакет Запрос-Идентификации используется для начала РАР-операций. Идентифицируемая сторона должна использовать пакет Запрос-Идентификации во время фазы авторизации. Пакет Запрос-Идентификации посылается множество раз, до тех пор пока не будет получен правильный ответ или (необязательный вариант) будет послано заданное количество пакетов.

Идентифицирующая сторона ожидает, что будет прислан пакет Запрос-Идентификации. После получения такого пакета ею возвращается один из возможных ответов.

Если пара имя/пароль, полученная в пакете Запрос-Идентификации, и распознаваема, и правильна, тогда идентифицирующий посылает пакет Подтверждение-Идентификации. В противном случае он посылает пакет Отказ-Идентификации. Тогда другая сторона считается неиденфицируемой и обмен пакетами L_3 не может произойти из-за того, что получатель отказа должен завершить связь.

CHAP Протокол идентификации запрос-подтверждение (Challenge-Handshake Authentication Protocol — CHAP), специфицированный в RFC 1994, является надежным протоколом авторизации. Как и РАР, он разработан для работы поверх РРР на коммутируемых линиях между узлом и, например, маршрутизатором. В этой части книги мы рассмотрим основные возможности CHAP.

CHAP периодически проверяет подсоединяемый узел посредством трехстороннего подтверждения в процессе начальной установки соединения. Кроме того, позже он может быть вызван в любое время.

После завершения фазы установки канала связи РРР идентифицирующий посылает вызов другой стороне. Эта сторона должна вычислить одностороннюю хэш-функцию и послать результат обратно. Идентифицирующий проверяет полученную информацию, проведя дополнительные вычисления, и отвечает подтверждением, если значения хэш-кодов совпали. В противном случае соединение разрывается.

CHAP использует изменяющийся идентификатор и переменное значение вызова. Использование повторяющихся вызовов позволяет сократить время, в течение которого система подвержена отдельной атаке. Идентифицирующий определяет частоту и время вызовов. Метод авторизации зависит от секретного значения, известного только идентифицирующему и идентифицируемому. Это значение не посылается по установленному соединению.

Авторизация выполняется в одностороннем режиме, но двухстороннее поведение РРР позволяет CHAP в действительности действовать в двухстороннем режиме.

CHAP может быть применен для идентификации в различных системах, так что поля имени используются как индекс, позволяющий найти соответствующее секретное значение в таблице. Этот подход, кроме того, позволяет системе иметь более чем одну пару имя/секрет и изменять используемое секретное значение в любой момент в течение сеанса связи. Показан пример обмена данными по протоколу CHAP.

Сообщения CHAP В протоколе CHAP имеется четыре вида сообщений: Вызов, Ответ.