Salah satu dari sedikit protokol autentikasi yang tidak mengirimkan rahasia bersama antara pengguna atau pihak yang meminta akses dan autentikator adalah Challenge-Handshake Authentication (CHAP). Ini adalah protokol point-to-point (PPP) yang dikembangkan oleh Internet Engineering Task Force, IETF. Khususnya, ini berguna selama startup koneksi awal dan pemeriksaan komunikasi berkala antara router dan host.
Oleh karena itu, CHAP merupakan protokol autentikasi yang bekerja tanpa mengirimkan shared secret atau mutual secret antara pengguna (pihak pengakses) dan autentikator (pihak autentikasi).
Meskipun masih berdasarkan rahasia bersama, autentikator mengirimkan pesan tantangan kepada pengguna yang meminta akses dan bukan rahasia bersama. Pihak yang meminta akses akan merespons dengan nilai yang biasanya dihitung menggunakan nilai hash satu arah. Pihak yang mengautentikasi akan memverifikasi respons berdasarkan perhitungannya sendiri.
Otentikasi hanya akan berhasil jika nilainya cocok. Namun, proses autentikasi akan gagal jika pihak peminta mengirimkan nilai yang berbeda dengan nilai pengenal. Dan bahkan setelah autentikasi koneksi berhasil, autentikator terkadang menantang pengguna untuk menjaga keamanan dengan membatasi waktu pemaparan potensi serangan.”
Bagaimana cara kerja CHAP?
CHAP bekerja dalam langkah-langkah berikut:
1. Klien membuat tautan PPP ke NAS (Server Akses Jaringan) yang memerlukan autentikasi.
2. Pengirim mengirimkan tantangan kepada pihak yang meminta akses.
3. Pihak peminta menanggapi tantangan menggunakan algoritma hash satu arah MD5. Sebagai tanggapan, klien akan mengirimkan nama pengguna bersama dengan sandi tantangan, kata sandi klien, dan ID sesi.
4. Server (otentikator) akan memverifikasi respons dengan membandingkannya dengan nilai hash yang diharapkan berdasarkan tantangannya.
5. Server memulai koneksi jika nilainya cocok. Namun, itu akan memutuskan koneksi jika nilainya tidak cocok. Bahkan setelah tersambung, server mungkin meminta klien untuk membalas pesan tantangan baru karena CHAP sering mendeteksi perubahan.
5 Karakteristik CHAP Teratas
CHAP memiliki sejumlah fitur yang membedakannya dari protokol lain. Fitur termasuk:
-
- Tidak seperti TCP, CHAP menggunakan protokol jabat tangan tiga arah. Authenticator mengirimkan tantangan kepada klien dan klien merespons menggunakan fungsi hash satu arah. Pengidentifikasi mencocokkan respons berdasarkan nilai yang dihitung dan akhirnya memberikan atau menolak akses.
- Klien menggunakan fungsi hash satu arah MD5.
- Server secara berkala memeriksa koneksi dan mengirimkan tantangan kepada pengguna untuk menjamin keamanan dan meminimalkan serangan selama sesi.
- CHAP sering meminta plaintext rahasia bersama.
- Variabel berubah terus menerus, memberikan jaringan keamanan yang lebih besar daripada PAP.
4 paket CHAP yang berbeda
Otentikasi CHAP menggunakan paket-paket berikut:
-
- Paket Tantangan- Ini adalah paket yang dikirim oleh authenticator ke klien atau pihak yang meminta akses ketika klien membuat tautan PPP. Paket ini dimulai pada awal protokol jabat tangan tiga arah. Ini berisi nilai pengidentifikasi, bidang nilai acak, dan bidang nama autentikator.
- Paket jawaban – Ini adalah respons yang dikirim kembali oleh pihak peminta ke pengautentikasi. Ini memiliki bidang Nilai yang berisi nilai hash satu arah yang dihasilkan, bidang Nama, dan nilai Pengidentifikasi. Mesin klien akan secara otomatis menyetel bidang nama paket ke kata sandi.
- Paket Sukses – Server akan mengirimkan paket yang berhasil jika respons hash pengguna cocok dengan nilai yang dihitung oleh server. Ketika server mengirimkan paket yang berhasil, sistem akan membuat koneksi.
- Paket kegagalan– Server mengirimkan paket kegagalan jika nilai yang dihasilkan berbeda. Ini juga menyiratkan bahwa tidak akan ada koneksi.
Mengonfigurasi CHAP pada otentikasi dan mesin pengguna
Langkah-langkah berikut diperlukan saat mengonfigurasi CHAP:
A. Jalankan perintah di bawah ini pada server/otentikasi dan mesin pengguna. Biasanya, ini akan selalu menjadi mesin paritas.
B. Ubah nama host kedua mesin menggunakan perintah di bawah ini. Masukkan perintah pada masing-masing mesin peer.
C. Terakhir, berikan nama pengguna dan kata sandi untuk setiap mesin menggunakan perintah di bawah ini.
Kesimpulan
Khususnya, pengembang CHAP, yang mengembangkan CHAP, merancang protokol ini untuk melindungi sistem dari serangan replay dengan memastikan bahwa pihak yang meminta akses menggunakan variabel dan pengidentifikasi yang berubah secara bertahap. Selain itu, autentikator mengontrol waktu dan frekuensi pengiriman tantangan kepada pengguna atau pihak yang meminta akses.