Autenticación de emisores de llamadas en un enlace

En esta sección se explica cómo funcionan los protocolos de autenticación PPP y se explican las bases de datos que están asociadas a los protocolos de autenticación.

Protocolo de autenticación de contraseña (PAP)

La autenticación PAP es parecida en operación al programa login de UNIX, aunque PAP no concede acceso shell al usuario. PAP utiliza los archivos de configuración de PPP y la base de datos de PAP en forma del archivo /etc/ppp/pap-secrets para configurar la autenticación. PAP también utiliza /etc/ppp/pap-secrets para definir credenciales de seguridad de PAP. Estas credenciales incluyen un nombre de igual, un "nombre de usuario" en lenguaje de PAP y una contraseña. Las credenciales de PAP también contienen información relacionada para cada emisor de llamada al que se le permite establecer un enlace con el equipo local. Los nombres de usuario y las contraseñas de PAP pueden ser idénticos o diferentes de los nombres de usuario y las contraseñas de UNIX en la base de datos de contraseñas.

Archivo /etc/ppp/pap-secrets

La base de datos de PAP se implementa en el archivo /etc/ppp/pap-secrets. Los equipos en ambos lados del enlace de PPP deben haber configurado correctamente las credenciales de PAP en sus archivos /etc/ppp/pap-secrets para una autenticación correcta. El emisor de llamada (autenticado) proporciona credenciales en las columnas user y password del archivo /etc/ppp/pap-secrets o en el archivo +ua obsoleto. El servidor (autenticador) valida estas credenciales comparando la información en /etc/ppp/pap-secrets, a través de la base de datos passwd de UNIX o en la utilidad de PAM.

El archivo /etc/ppp/pap-secrets tiene la siguiente sintaxis.

myclient ISP-server mypassword *

Los parámetros tienen el siguiente significado.

myclient

Nombre de usuario de PAP del emisor de llamada. Con frecuencia, este nombre es idéntico al nombre de usuario de UNIX del emisor, especialmente si el servidor de marcación de entrada utiliza la opción login de PAP.

ISP-server

Nombre del equipo remoto, generalmente un servidor de marcación de entrada.

mypassword

Contraseña de PAP del emisor de llamada.

*

Dirección IP que está asociada con el emisor. Utilice un asterisco (*) para indicar cualquier dirección IP.

Creación de contraseñas de PAP

Las contraseñas de PAP se envían a través del enlace sin cifrar, es decir, en formato ASCII legible. Para el emisor de llamada (autenticado), la contraseña de PAP se debe almacenar sin cifrar en cualquiera de las siguientes ubicaciones:

• En /etc/ppp/pap-secrets

• En otro archivo externo

• En una conducción con nombre a través de la función pap-secrets @

• Como una opción para pppd, en la línea de comandos o en un archivo de configuración de PPP

• A través del archivo +ua

En el servidor (autenticador), la contraseña de PAP se puede ocultar al realizar una de las siguientes acciones:

• Especificar papcrypt y utilizar contraseñas a las que se les ha aplicado un algoritmo hash mediante crypt(3C) en el archivo pap-secrets.

• Especificar la opción login para pppd y omitir la contraseña del archivo pap-secrets colocando comillas dobles ("") en la columna de contraseña. En esta instancia, la autenticación se realiza a través de la base de datos "passwd" de UNIX o el mecanismo PAM.

Qué sucede durante la autenticación PAP

La autenticación PAP se produce en la siguiente secuencia.

Figura 8-1 Proceso de autenticación PAP

1. El emisor de llamada (autenticado) llama al igual remoto (autenticador) y proporciona su nombre de usuario y contraseña de PAP como parte de la negociación del enlace.

2. El igual verifica la identidad del emisor en su archivo /etc/ppp/pap-secrets. Si el igual utiliza la opción login de PAP, el igual verifica el nombre de usuario y la contraseña del emisor de llamada en su base de datos de contraseñas.

3. Si la autenticación es correcta, el igual continúa la negociación del enlace con el emisor. Si la autenticación falla, el enlace se pierde.

4. (Opcional) Si el emisor de llamada autentica respuestas de iguales remotos, el igual remoto debe enviar sus propias credenciales de PAP al emisor. Por lo tanto, el igual remoto se convierte en el autenticado y el emisor en el autenticador.

5. (Opcional) El emisor de llamada original lee su propio /etc/ppp/pap-secrets para verificar la identidad del igual remoto.

   ---

   Nota - Si el emisor de llamada original requiere credenciales de autenticación del igual remoto, el paso 1 y el paso 4 suceden en paralelo.

   ---

   Si se autentica al igual, la negociación continúa. De lo contrario, el enlace se pierde.

6. La negociación entre el emisor de llamada y el igual continúa hasta que el enlace se establece correctamente.

Uso de la opción login con /etc/ppp/pap-secrets

Puede agregar la opción login para autenticar credenciales de PAP en cualquier archivo de configuración de PPP. Cuando se especifica login, por ejemplo, en /etc/ppp/options, pppd verifica que las credenciales de PAP del emisor existen en la base de datos de contraseñas. En el siguiente ejemplo, se muestra el formato de un archivo /etc/ppp/pap-secrets con la opción login.

joe    *  ""  *
sally  *  ""  *
sue    *  ""  *

Los parámetros tienen los siguientes significados.

Emisor de llamada

joe, sally y sue son los nombres de los emisores de llamadas autorizados.

Servidor

Asterisco (*), que indica que cualquier nombre de servidor es válido. La opción name no es necesaria en los archivos de configuración de PPP.

Contraseña

Comillas dobles, que indican que cualquier contraseña es válida.

Si una contraseña está en esta columna, la contraseña del igual debe coincidir con la contraseña de PAP y la base de datos passwd de UNIX.

Direcciones IP

Asterisco (*), que indica que se permite cualquier dirección IP.

Protocolo de autenticación por desafío mutuo (CHAP)

La autenticación CHAP utiliza la noción de desafío y respuesta, que significa que el igual (autenticador) exige al emisor (autenticado) que demuestre su identidad. El desafío incluye un número aleatorio y un ID único que genera el autenticador. El emisor de llamada debe utilizar el ID, el número aleatorio y sus credenciales de seguridad de CHAP para generar la respuesta adecuada (reconocimiento) para enviar al igual.

Las credenciales de seguridad de CHAP incluyen un nombre de usuario de CHAP y un "secreto" de CHAP. El secreto de CHAP es una cadena arbitraria conocida por el emisor y por el igual antes de negociar un enlace de PPP. Configure credenciales de seguridad de CHAP en la base de datos de CHAP, /etc/ppp/chap-secrets.

Archivo /etc/ppp/chap-secrets

La base de datos de CHAP se implementa en el archivo /etc/ppp/chap-secrets. Los equipos en ambos lados del enlace de PPP deben tener sus respectivas credenciales de PAP en sus archivos /etc/ppp/chap-secrets para una autenticación correcta.

El archivo /etc/ppp/chap-secrets tiene la siguiente sintaxis.

myclient myserver secret5748 *

Los parámetros tienen los siguientes significados:

myclient

Nombre de usuario de CHAP del emisor de llamada. Este nombre puede ser diferente o igual al nombre de usuario de UNIX del emisor de llamada.

myserver

Nombre del equipo remoto, generalmente un servidor de marcación de entrada.

secret5748

Secreto de CHAP del emisor de llamada.

---

Nota - A diferencia de las contraseñas de PAP, los secretos de CHAP nunca se envían a través del enlace. En su lugar, los secretos de CHAP se utilizan cuando los equipos locales procesan la respuesta.

---

*

Dirección IP que está asociada con el emisor. Utilice un asterisco (*) para indicar cualquier dirección IP.

Qué sucede durante la autenticación CHAP

La autenticación CHAP se produce en la siguiente secuencia.

Figura 8-2 Autenticación CHAP secuencia

1. Dos iguales que están por iniciar comunicaciones se ponen de acuerdo sobre un secreto que se utilizará para la autenticación durante la negociación del enlace de PPP.

2. Los administradores de ambos equipos agregan el secreto, los nombres de usuario de CHAP y otras credenciales de CHAP a la base de datos /etc/ppp/chap-secrets de sus respectivos equipos.

3. El emisor de llamada (autenticado) llama al igual remoto (autenticador).

4. El autenticador genera un número aleatorio y un ID, y envía esos datos al autenticado como una desafío.

5. El autenticado busca el nombre y secreto del igual en su base de datos /etc/ppp/chap-secrets.

6. El autenticado calcula una respuesta aplicando el algoritmo computacional MD5 al secreto y al desafío de número aleatorio del igual. A continuación, el autenticado envía los resultados como su respuesta al autenticador.

7. El autenticador busca el nombre y secreto del autenticado en su base de datos /etc/ppp/chap-secrets.

8. El autenticador calcula su propia figura aplicando MD5 al número que se generó como el desafío y el secreto para el autenticado en /etc/ppp/chap-secrets.

9. El autenticador compara sus resultados con la respuesta del emisor de llamada. Si los dos números son los mismos, el igual ha autenticado correctamente al emisor de llamada y la negociación del enlace continúa. De lo contrario, el enlace se pierde.