CCNA培训公开课---广域网之CHAP认证 乾颐堂李伟达老师提供

CCNA培训公开课---广域网之CHAP认证
7 y. r$ x: T. X* R9 l' V由于点到点链路的传输性质，给链路的物理安全带来了很大的威胁。
* b9 h( _, U4 q: v$ L% \+ z我们常说，最好的技术，那就是社会工程学。
& h1 h0 u! |: Y: x$ v
" Z# P( y: r4 N8 w8 u所幸的是，前辈科学家们为我们开发出了PPP链路的认证机制，我简单的研究了一下CHAP，
参考资料：
: I" R' j! ]! I$ ?1、RFC1334
2、CCNA2.0学习指南
2 f4 P6 ]3 S3 {* [% D5 I3、互联网上流传的各种讲解版本
4、模拟器实验结果
5、真机实验结果
（以上模拟器及真机均为cisco设备）
9 J3 x3 J2 n/ F6 m/ {
# J' |7 ^. u1 u! Q9 h术词解释：
: ~/ u/ t% }5 g% c. o* \6 u; xID：  报文序列号
; v. ?% _0 F& ~; j# e随机值：  就是随机的
$ ^" U. I+ H# |7 G2 |( E用户名：向对方发送的用于检索密码的数据库用户名；默认为自身的设备名；
# J  V$ X3 b3 A1 ]7 d
; U! n$ ^3 |3 P7 n" `有说法是CHAP分为单向认证和双向认证。这个暂且不做深入研究
实验环境为两台路由器通过串口相连，一端配置CHAP，一端配置用户名和密码。

2 ^4 ^; L. Q  p通过实验，我们会发现，当认证者收到挑战者发过来的挑战报文，会在本地的数据库中搜索挑战报文中携带的用户名的密码，如果有，也将一并放入MD5散列生成器，进行hash运算；
第一步、
  D( o2 T1 ]' S; e! ~) h) c% q开启认证的一端（我们称其为挑战者）发起挑战报文，将报文ID、随机值、以及用户名发送给认证者；

CCNA培训公开课---广域网之CHAP认证 乾颐堂李伟达老师提供

第二步、
认证者将报文ID、随机值、本地配置的用于认证的密码（在cisco的IOS上，如果本地数据库中有对端发送过来的用户名在本地数据库配置的密码，则使用数据库中对端发送过来的用户名的密码）、放入MD5散列生成器进行hash，生成一个hash值；

CCNA培训公开课---广域网之CHAP认证 乾颐堂李伟达老师提供

第三步、
0 P0 S( y4 I2 N8 _( w$ |认证者将hash值发送给挑战者，其中包括报文ID、hash值、以及配置的用户名（默认为本设备的设备名）；

CCNA培训公开课---广域网之CHAP认证 乾颐堂李伟达老师提供

$ @9 z- U. Q! S+ m3 p3 \第四步、
# U8 g% o! v; b. W$ z挑战者将报文ID、初始的随机值、以及认证者发送过来的用户名在本地数据库对应的密码进行hash，得出一个hash值；
0 N: h3 N: K6 K" `9 X
, C% T! }; e: F( O' x! J第五步、挑战者对两个hash值进行比较，若相同，返回认证通过报文；若不通，则认证失败，返回拒绝报文。

CCNA培训公开课---广域网之CHAP认证 乾颐堂李伟达老师提供

  j8 X2 P# [2 P1 J以上为本人结合理论及实验得出的结论，若有不妥，欢迎批评指正！
/ L- j/ k+ n% f" i本文 乾颐堂李伟达老师提供

/ o9 S+ C  d- A, N" m乾颐堂客服热线：400-618-8070
& r8 y0 W0 X+ X0 U4 g乾颐堂官网：www.qytang.com
乾颐堂网络实验室 我们为您想的更多

! T, X# I" Q# V