PPP-Authentifizierung

Die Authentifizierung ist ein Verifizierungsvorgang, der von einem Benutzer durchgeführt wird, um seine Identität zu bestätigen. Die UNIX-Anmeldesequenz ist eine einfache Form der Authentifizierung:

1. Über den Befehl login wird der Benutzer zur Eingabe eines Namens und eines Passworts aufgefordert.

2. Anschließend wird über login versucht, den Benutzer zu authentifizieren, indem in der Passwortdatenbank nach dem eingegebenen Benutzernamen und dem Passwort gesucht wird.

3. Sind Benutzername und Passwort in der Datenbank enthalten, wird der Benutzer authentifiziert und erhält Zugang zum System. Sind Benutzername und Passwort nicht in der Datenbank enthalten, wird dem Benutzer der Zugang zum System verwehrt.

Standardmäßig verlangt Solaris PPP 4.0 keine Authentifizierung für Rechner, bei denen keine standardmäßige Route angegeben ist. Aus diesem Grund werden aufrufende Remote-Programme nicht von lokalen Rechnern authentifiziert, die keine standardmäßige Route haben. Umgekehrt verhält es sich bei Rechnern mit standardmäßig definierter Route: aufrufende Remote-Programme werden stets authentifiziert.

Sie können PPP-Authentifizierungsprotokolle verwenden, um die Identität von aufrufenden Programmen zu verifizieren, die versuchen, eine PPP-Verbindung mit Ihrem Rechner herzustellen. Wenn Ihr lokaler Rechner zum Authentifizieren von aufrufenden Programmen jedoch Peers aufrufen muss, müssen Sie die PPP-Authentifizierungsinformationen konfigurieren.

Authentifizierer und Authentifizierungsempfänger

Der aufrufende Rechner in einer PPP-Verbindung wird als Authentifizierungsempfänger betrachtet, da der aufrufende Rechner seine Identität gegenüber dem Remote-Peer nachweisen muss. Der Peer wird als Authentifizierer betrachtet. Der Authentifizierer sucht in den entsprechenden PPP-Dateien nach dem Sicherheitsprotokoll, um die Identität des aufrufenden Rechners zu prüfen und den aufrufenden Rechner zu authentifizieren.

Für eine Wählverbindung konfigurieren Sie normalerweise die PPP-Authentifizierung. Wenn der Aufruf gestartet wird, ist der Hinauswahlrechner der Authentifizierungsempfänger. Der Einwahlserver ist der Authentifizierer. Der Server verfügt über eine Datenbank in Form einer Geheimnisdatei (secrets-Datei). In dieser Datei sind alle Benutzer aufgelistet, die berechtigt sind, eine PPP-Verbindung mit dem Server herzustellen. Diese Benutzer sind vertrauenswürdige aufrufende Programme.

Manche Hinauswahlrechner verlangen von Remote-Peers die Bereitstellung von Authentifizierungsinformationen, wenn diese auf einen Aufruf eines Hinauswahlrechners antworten. Dann findet ein Rollentausch statt: Der Remote-Peer wird zum Authentifizierungsempfänger und der Hinauswahlrechner zum Authentifizierer.

PPP-Authentifizierungsprotokolle

Die PPP-Authentifizierungsprotokolle sind PAP (Password Authentication Protocol) und CHAP (Challenge-Handshake Authentication Protocol). Jedes Protokoll verwendet eine Geheimnis-Datenbank, die Identifizierungsinformationen oder Sicherheitsberechtigungsnachweise für jedes aufrufende Programm enthält, das berechtigt ist, eine Verbindung mit dem lokalen Rechner herzustellen. Eine ausführliche Erläuterung zu PAP finden Sie unter PAP (Password Authentication Protocol). Eine Erläuterung zu CHAP finden Sie unter CHAP (Challenge-Handshake Authentication Protocol).

Warum die PPP-Authentifizierung verwendet werden sollte

Die Authentifizierung für eine PPP-Verbindung ist optional. Obwohl anhand der Authentifizierung verifiziert werden kann, dass ein Peer vertrauenswürdig ist, wird für die Vertraulichkeit der Daten nicht garantiert. Zu diesem Zweck verwenden Sie Verschlüsselungssoftware wie IPsec, PGP, SSL, Kerberos oder Solaris Secure Shell.

In folgenden Fällen sollte die PPP-Authentifizierung in Betracht gezogen werden:

• Ihr Unternehmen akzeptiert eingehende Anrufe von Benutzern, die über das öffentliche geschaltete Telefonnetz eingehen.

• Die Sicherheitsrichtlinien Ihres Unternehmens verlangen von Remote-Benutzern Authentifizierungs-Berechtigungsnachweise, wenn diese Benutzer über eine Unternehmens-Firewall auf Ihr Netzwerk zugreifen oder gesicherte Transaktion einleiten.

• Sie können aufrufende Programme mithilfe einer standardmäßigen UNIX-Passwortdatenbank wie /etc/passwd, NIS, NIS+, LDAP, oder PAM authentifizieren. Verwenden Sie hierfür die PAP-Authentifizierung.

• Die Einwahlserver Ihres Unternehmens stellen auch die Internetverbindung des Netzwerks bereit. Verwenden Sie hierfür die PAP-Authentifizierung.

• Die serielle Verbindung ist weniger sicher als die Passwortdatenbank des Rechners oder in den Netzwerken an den beiden Enden der Verbindung. Verwenden Sie hierfür die CHAP-Authentifizierung.