Authentifizieren von Anrufern

Dieser Abschnitt enthält Erklärungen zur Funktionsweise der PPP-Authentifizierungsprotokolle und der Datenbanken, die den Authentifizierungsprotokollen zugeordnet sind.

PAP (Password Authentication Protocol)

Die PAP-Authentifizierung ähnelt in ihrer Funktionsweise dem UNIX-Anmeldeprogramm, obwohl PAP den Benutzern keinen Shell-Zugriff erlaubt. PAP verwendet die PPP-Konfigurationsdateien und die PAP-Datenbank unter Zuhilfenahme der /etc/ppp/pap-secrets-Datei, um die Authentifizierung durchzuführen. Außerdem wird /etc/ppp/pap-secrets von PAP zum Definieren der PAP-Sicherheitsberechtigungsnachweise verwendet. Diese Berechtigungsnachweise umfassen einen Peer-Namen, einen "Benutzernamen" in PAP-Sprache und ein Passwort. Zu den PAP-Berechtigungsnachweisen zählen zudem relevante Informationen für jeden Anrufer, dem gestattet ist, eine Verbindung mit dem lokalen Rechner herzustellen. Die PAP-Benutzernamen und -Passwörter können mit den UNIX-Benutzernamen und -Passwörtern in der Passwortdatenbank übereinstimmen oder sich von diesen unterscheiden.

/etc/ppp/pap-secrets-Datei

Die PAP-Datenbank wird in der /etc/ppp/pap-secrets -Datei implementiert. In den /etc/ppp/pap-secrets-Dateien der Rechner, die sich an beiden Enden der PPP-Verbindung befinden, müssen richtig konfigurierte PAP-Berechtigungsnachweise enthalten sein, damit die Authentifizierung erfolgreich durchgeführt werden kann. Der Anrufer (Authentifizierungsempfänger) stellt Berechtigungsnachweise in den user- und password-Spalten der /etc/ppp/pap-secrets-Datei oder in der veralteten +ua -Datei bereit. Der Server (Authentifizierer) gleicht diese Berechtigungsnachweise mit den Informationen in /etc/ppp/pap-secrets ab, indem die passwd-UNIX-Datenbank oder die PAM-Funktion verwendet wird.

Die /etc/ppp/pap-secrets-Datei weist die folgende Syntax auf:

myclient ISP-server mypassword *

Die Parameter haben folgende Bedeutungen:

myclient

PAP-Benutzername des Anrufers. Dieser Name ist oft mit dem UNIX-Benutzernamen des Anrufers identisch, insbesondere dann, wenn der Einwahlserver die Anmeldeoption (login) von PAP verwendet.

ISP-server

Name des Remote-Rechners, bei dem es sich oft um einen Einwahlserver handelt

mypassword

PAP-Passwort des Anrufers

*

IP-Adresse des Anrufers. Verwenden Sie ein Sternchen (*), um eine IP-Adresse anzugeben.

Erstellen von PAP-Passwörtern

PAP-Passwörter werden unverschlüsselt über die Verbindung gesendet, d. h. in lesbarem ASCII-Format. Für den Anrufer (Authentifizierungsempfänger) muss das PAP-Passwort an folgenden Stellen unverschlüsselt gespeichert werden:

• In /etc/ppp/pap-secrets

• In einer anderen externen Datei

• In einer benannten Pipe durch die pap-secrets @-Funktion

• Als Option für pppd entweder in der Befehlszeile oder in einer PPP-Konfigurationsdatei

• Über die +ua-Datei

Auf dem Server (Authentifizierer) kann das PAP-Passwort wie folgt ausgeblendet werden:

• Angeben von papcrypt und Verwenden von Passwörtern, die durch crypt(3C) in der pap-secrets-Datei mit Hash-Codierung versehen werden

• Angeben der login-Option für pppd und Weglassen des Passworts in der pap-secrets-Datei durch Eintragen von doppelten Anführungszeichen ("") in die Passwort-Spalte In diesem Fall wird die Authentifizierung mithilfe der UNIX-Passwortdatenbank oder des pam(3pam)-Mechanismus durchgeführt.

Vorgänge während der PAP-Authentifizierung

Die PAP-Authentifizierung läuft wie folgt ab.

Abbildung 22-1 PAP-Authentifizierungsprozess

1. Der Anrufer (Authentifizierungsempfänger) wählt den Remote-Peer (Authentifizierer) an und stellt seinen PAP-Benutzernamen und ein Passwort als Teil der Aushandlung der Verbindung bereit.

2. Der Peer prüft die Identität des Anrufers in der /etc/ppp/pap-secrets -Datei. Wenn der Peer die login-Option von PAP verwendet, verifiziert der Peer den Benutzernamen und das Passwort des Anrufers in seiner Passwortdatenbank.

3. Wenn die Authentifizierung erfolgreich ist, setzt der Peer die Aushandlung der Verbindung mit dem Anrufer fort. Schlägt die Authentifizierung fehl, wird die Verbindung abgebrochen.

4. (Optional) Wenn der Anrufer Antworten von Remote-Peers authentifiziert, muss der Remote-Peer seine eigenen PAP-Berechtigungsnachweise an den Anrufer senden. Dadurch wird der Remote-Peer zum Authentifizierungsempfänger und der Anrufer zum Authentifizierer.

5. (Optional) Der ursprüngliche Anrufer liest seine eigene /etc/ppp/pap-secrets , um die Identität des Remote-Peers zu verifizieren.

   ---

   Hinweis - Wenn der ursprüngliche Anrufer Authentifizierungs-Berechtigungsnachweise vom Remote-Peer verlangt, werden Schritt 1 und 4 gleichzeitig ausgeführt.

   ---

   Wenn der Peer authentifiziert ist, wird die Aushandlung fortgesetzt. Anderenfalls wird die Verbindung abgebrochen.

6. Die Aushandlung zwischen Anrufer und Peer wird fortgesetzt, bis die Verbindung hergestellt ist.

Verwenden der login-Option mit /etc/ppp/pap-secrets

Sie können die login-Option für die Authentifizierung von PAP-Berechtigungsnachweisen in jede PPP-Konfigurationsdatei einfügen. Wenn login beispielsweise in /etc/ppp/options angegeben wird, verifiziert pppd, dass die PAP-Berechtigungsnachweise des Anrufers in der Solaris-Passwortdatenbank enthalten sind. Im Folgenden wir das Format einer /etc/ppp/pap-secrets-Datei mit der login-Option dargestellt:

joe    *  ""  *
sally  *  ""  *
sue    *  ""  *

Die Parameter haben folgende Bedeutungen:

Anrufer

joe, sally und sue sind die Namen der autorisierten Anrufer.

Server

Sternchen (*), das anzeigt, dass ein Servername gültig ist. Die name-Option wird in den PPP-Konfigurationsdateien nicht benötigt.

Passwort

Doppelte Anführungszeichen, die anzeigen, dass ein Passwort gültig ist.

Wenn in dieser Spalte ein Passwort enthalten ist, muss dass vom Peer gesendete Passwort sowohl mit dem PAP-Passwort als auch mit dem Passwort in der UNIX-Passwortdatenbank (passwd) übereinstimmen.

IP-Adressen

Sternchen (*), das anzeigt, dass eine beliebige IP-Adresse erlaubt ist.

CHAP (Challenge-Handshake Authentication Protocol)

Bei der CHAP-Authentifizierung wird das Konzept der Aufforderung und Antwort verwendet. Das bedeutet, dass der Peer (Authentifizierer) den Anrufer (Authentifizierungsempfänger) auffordert, seine Identität nachzuweisen. Die Aufforderung besteht aus einer Zufallszahl und einer eindeutigen ID, die vom Authentifizierer generiert wird. Der Anrufer muss die ID, die Zufallszahl und seine CHAP-Sicherheitsberechtigungsnachweise verwenden, um die richtige Antwort (Handshake) an den Peer zu senden.

Zu den CHAP-Sicherheitsberechtigungsnachweisen gehören ein CHAP-Benutzername und ein "CHAP-Geheimnis". Das CHAP-Geheimnis ist eine beliebige Zeichenfolge, die sowohl dem Anrufer als auch dem Peer bekannt ist, bevor diese mit dem Aushandeln einer PPP-Verbindung beginnen. Die CHAP-Sicherheitsberechtigungsnachweise konfigurieren Sie in der CHAP-Datenbank, /etc/ppp/chap-secrets.

/etc/ppp/chap-secrets-Datei

Die CHAP-Datenbank ist in der /etc/ppp/chap-secrets-Datei implementiert. Die Rechner, die sich an beiden Enden der PPP-Verbindung befinden, müssen über die CHAP-Berechtigungsnachweise des jeweils anderen Rechners in den /etc/ppp/chap-secrets -Dateien verfügen, damit die Authentifizierung erfolgreich durchgeführt werden kann.

Die /etc/ppp/chap-secrets hat die folgende Syntax:

myclient myserver secret5748 *

Die Parameter haben folgende Bedeutungen:

myclient

CLIENT-HOSTAP-Benutzername des Anrufers. Dieser Name kann mit dem UNIX-Benutzernamen des Anrufers übereinstimmen oder sich von diesem unterschieden.

myserver

Name des Remote-Rechners, bei dem es sich oft um einen Einwahlserver handelt

secret5748

CHAP-Geheimnis des Anrufers

---

Hinweis - Anders als bei PAP-Passwörtern werden CHAP-Geheimnisse nie über die Verbindung gesendet. Stattdessen werden CHAP-Geheimnisse verwendet, während die lokalen Rechner die Antwort berechnen.

---

*

IP-Adresse des Anrufers. Verwenden Sie ein Sternchen (*), um eine IP-Adresse anzugeben.

Vorgänge während der CLIENT-HOSTAP-Authentifizierung

Die CHAP-Authentifizierung läuft wie folgt ab.

Abbildung 22-2 Ablauf der CHAP-Authentifizierung

1. Zwei Peers, die gerade im Begriff sind, die Kommunikation zu initiieren, vereinbaren ein Geheimnis, das während der Aushandlung einer PPP-Verbindung zur Authentifizierung verwendet werden soll.

2. Die Administratoren beider Rechner fügen das Geheimnis, die CHAP-Benutzernamen und andere CHAP-Berechtigungsnachweise in die /etc/ppp/chap-secrets-Datenbank der betreffenden Rechner ein.

3. Der Anrufer (Authentifizierungsempfänger) ruft den Remote-Peer (Authentifizierer) auf.

4. Der Authentifizierer genehmigt eine Zufallszahl und eine ID und sendet diese Daten als Aufforderung an den Authentifizierungsempfänger.

5. Der Authentifizierungsempfänger sucht in seiner /etc/ppp/chap-secrets-Datenbank nach dem Namen und dem Geheimnis des Peers.

6. Der Authentifizierungsempfänger berechnet eine Antwort, indem er den MD5-Berechnungsalgorithmus auf das Geheimnis und die Zufallszahl des Peers anwendet. Dann sendet der Authentifizierungsempfänger die Ergebnisse in Form einer Antwort an den Authentifizierer.

7. Der Authentifizierer sucht in seiner /etc/ppp/chap-secrets-Datenbank nach dem Namen und dem Geheimnis des Authentifizierungsempfängers.

8. Der Authentifizierer berechnet seine eigene Zahl, indem er MD5 auf die als Aufforderung generierte Zahl und das Geheimnis für den Authentifizierungsempfänger in /etc/ppp/chap-secrets anwendet.

9. Der Authentifizierer vergleicht seine Ergebnisse mit der Antwort des Anrufers. Wenn die beiden Zahlen übereinstimmen, ist der Anrufer erfolgreich vom Peer authentifiziert worden, und die Aushandlung der Verbindung wird fortgesetzt. Anderenfalls wird die Verbindung abgebrochen.