El Protocol d'autenticació de contrasenya (PAP) és un protocol d'autenticació basat en contrasenya que utilitza el Protocol punt a punt (PPP) per validar usuaris. El PAP s'especifica a RFC 1334.

Gairebé tots els sistemes operatius de xarxa admeten PPP amb PAP, igual que la majoria de servidors d'accés a la xarxa. PAP també s'utilitza a PPPoE, per autenticar usuaris DSL.

Com que el protocol punt a punt (PPP) envia dades sense xifrar i "en clar", el PAP és vulnerable a qualsevol atacant que pugui observar la sessió PPP. Un atacant pot veure el nom de l'usuari, la contrasenya i qualsevol altra informació associada amb la sessió PPP. Es pot obtenir una seguretat addicional a l'enllaç PPP mitjançant CHAP o EAP. Tanmateix, sempre hi ha compromisos a l'hora de triar un mètode d'autenticació, i no hi ha una resposta única per a quin és més segur.

Quan s'utilitza PAP en PPP, es considera un esquema d'autenticació feble. Els esquemes febles són més senzills i tenen una sobrecàrrega computacional més lleugera que els esquemes més complexos, com ara Transport Layer Security (TLS), però són molt més vulnerables als atacs. Els esquemes febles s'utilitzen quan s'espera que la capa de transport sigui físicament segura, com ara un enllaç DSL domèstic. Quan la capa de transport no és físicament segura, s'utilitza un sistema com ara TLS o Internet Protocol Security (IPsec).

Altres usos del PAP PAP també s'utilitza per descriure l'autenticació per contrasenya en altres protocols com RADIUS i Diameter. Tanmateix, aquests protocols proporcionen seguretat de la capa de transport o de xarxa i, per tant, l'ús de PAP no té els problemes de seguretat que es veuen quan s'utilitza PAP amb PPP.

Beneficis del PAP Quan el client envia una contrasenya de text sense xifrar, el servidor d'autenticació la rebrà i la compararà amb una contrasenya "bona coneguda". Com que el servidor d'autenticació ha rebut la contrasenya en text sense xifrar, el format de la contrasenya emmagatzemada es pot triar perquè sigui segur "en repòs". Si un atacant robés tota la base de dades de contrasenyes, seria computacionalment inviable revertir la funció per recuperar una contrasenya de text sense xifrar.

Com a resultat, tot i que les contrasenyes PAP són menys segures quan s'envien a través d'un enllaç PPP, permeten un emmagatzematge "en repòs" més segur que amb altres mètodes com ara CHAP.

Cicle de treball L'autenticació PAP només es fa en el moment de l'establiment de l'enllaç inicial i verifica la identitat del client mitjançant una confirmació de connexió bidireccional.

El client envia el nom d'usuari i la contrasenya. Això s'envia repetidament fins que es rep una resposta del servidor. El servidor envia authentication-ack (si les credencials són correctes) o authentication-nak (en cas contrari)

Paquets PAP Descripció1 byte1 byte2 bytes1 byteVariable1 byteSol·licitud d'autenticacióCodi = 1IDLongitudLongitud del nom d'usuariNom d'usuariLongitud de la contrasenyaAutenticació-ackCodi = 2IDLongitudLongitud del missatgeMissatgeAutenticació-nakCodi = 3IDLongitudLongitud del missatgeMissatge Paquet PAP incrustat en una trama PPP. El camp de protocol té un valor de C023 (hexadecimal). SemàforAdreçaControlProtocol (C023 (hex))Càrrega útil (taula superior)FCSSemàfor

Referències

Categoria:Protocols d'Internet