Authentification des appelants sur une liaison

Cette section explique le fonctionnement des protocoles d'authentification PPP et décrit les bases de données qui leur sont associées.

Protocole d'authentification par mot de passe (PAP)

L'authentification PAP est similaire dans son fonctionnement au programme login d'UNIX, à ceci près que PAP n'accorde pas l'accès shell à l'utilisateur. PAP utilise les fichiers de configuration PPP et la base de données PAP sous forme de fichier /etc/ppp/pap-secrets pour configurer l'authentification. PAP utilise également /etc/ppp/pap-secrets pour définir les informations d'identification de sécurité PAP. Les informations d'identification se composent d'un nom de pair, "nom d'utilisateur" dans le jargon PAP, et d'un mot de passe. Les informations d'identification PAP contiennent également les informations associées à chaque appelant autorisé à se connecter à la machine locale. Les noms d'utilisateur et mots de passe PAP peuvent être identiques aux noms d'utilisateur et mots de passe UNIX de la base de données de mots de passe, ou bien différents.

Fichier /etc/ppp/pap-secrets

La base de données PAP est mise en oeuvre dans le fichier /etc/ppp/pap-secrets. Pour que l'authentification réussisse, les informations d'identification PAP des machines situées des deux côtés de la liaison PPP doivent être correctement configurées dans les fichiers /etc/ppp/pap-secrets. L'appelant (l'authentifié) fournit les informations d'identification dans les colonnes user et password du fichier /etc/ppp/pap-secrets ou dans le fichier +ua obsolète. Le serveur (l'authentificateur) valide les informations d'identification par rapport aux informations contenues dans le fichier /etc/ppp/pap-secrets, par l'intermédiaire de la base de données UNIX passwd ou de l'utilitaire PAM.

Le fichier /etc/ppp/pap-secrets présente la syntaxe suivante.

myclient ISP-server mypassword *

Signification des paramètres .

myclient

Nom d'utilisateur PAP de l'appelant. Ce nom est souvent identique au nom d'utilisateur UNIX de l'appelant, en particulier si le serveur d'appel entrant utilise l'option login de PAP.

ISP-server

Nom de la machine distante, souvent un serveur d'appel entrant.

mypassword

Mot de passe PAP de l'appelant.

*

Adresse IP associée à l'appelant. L'astérisque (*) représente n'importe quelle adresse IP.

Création de mots de passe PAP

Les mots de passe PAP sont envoyés via la liaison en clair, c'est-à-dire dans un format ASCII lisible. Pour l'appelant (l'authentifié), le mot de passe PAP doit être stocké en clair dans l'un des emplacements suivants :

• dans /etc/ppp/pap-secrets ;

• dans un autre fichier externe ;

• dans un tube nommé par le biais de la fonction pap-secrets @  ;

• en tant qu'option de pppd, sur la ligne de commande ou dans un fichier de configuration PPP ;

• par l'intermédiaire du fichier +ua.

Sur le serveur (l'authentificateur), vous pouvez masquer le mot de passe PAP en effectuant l'une des opérations suivantes :

• Spécifiez papcrypt et utilisez des mots de passe hachés par crypt(3C) dans le fichier pap-secrets.

• Spécifiez l'option login sur pppd et omettez le mot de passe dans le fichier pap-secrets en plaçant des guillemets doubles ("") dans la colonne de mot de passe. Dans ce cas, l'authentification est effectuée par l'intermédiaire de la base de données passwd UNIX ou du mécanisme PAM.

Description de l'authentification PAP

L'authentification PAP se déroule dans l'ordre indiqué ci-dessous.

Figure 8-1 Processus d'authentification PAP

1. L'appelant (l'authentifié) appelle le pair distant (authentificateur) et fournit ses nom d'utilisateur et mot de passe PAP dans le cadre de la négociation de liaison.

2. Le pair vérifie l'identité de l'appelant dans son fichier /etc/ppp/pap-secrets. S'il utilise l'option login de PAP, le pair vérifie le nom d'utilisateur et le mot de passe de l'appelant dans sa base de données de mots de passe.

3. Si l'authentification réussit, le pair continue la négociation de liaison avec l'appelant. Si l'authentification échoue, la liaison est interrompue.

4. (Facultatif) Si l'appelant authentifie les réponses de pairs distants, ceux-ci doivent lui envoyer leurs informations d'identification PAP. Ainsi, le pair distant devient l'authentifié et l'appelant l'authentificateur.

5. (Facultatif) L'appelant d'origine lit son fichier /etc/ppp/pap-secrets pour vérifier l'identité du pair distant.

   ---

   Remarque - Si l'appelant d'origine ne nécessite pas les informations d'identification du pair distant, l'étape 1 et l'étape 4 se déroulent en parallèle.

   ---

   Si le pair est authentifié, la négociation se poursuit. Dans le cas contraire, la liaison est interrompue.

6. La négociation entre l'appelant et le pair se poursuit jusqu'à ce que la liaison soit finalement établie.

Utilisation de l'option login avec /etc/ppp/pap-secrets

Vous pouvez ajouter l'option login pour authentifier les informations d'identification PAP dans les fichiers de configuration PPP. Lorsque vous spécifiez l'option login dans /etc/ppp/options par exemple, pppd vérifie que les informations d'identification PAP de l'appelant existent dans la base de données de mots de passe. L'exemple suivant représente le format d'un fichier /etc/ppp/pap-secrets avec l'option login.

joe    *  ""  *
sally  *  ""  *
sue    *  ""  *

Signification des paramètres .

Appelant

joe, sally et sue sont les noms des appelants autorisés.

Serveur

L'astérisque (*) indique que tous les noms de serveur sont valides. L'option name n'est pas obligatoire dans les fichiers de configuration PPP.

Mot de passe

Les guillemets doubles indiquent les mots de passe valides.

Si un mot de passe figure dans cette colonne, le mot de passe du pair doit correspondre à la fois au mot de passe PAP et au mot de passe dans la base de données passwd UNIX.

Adresses IP

L'astérisque (*) indique que toutes les adresses IP sont valides.

Protocole CHAP (Challenge-Handshake Authentication Protocol)

L'authentification CHAP utilise la notion de défi et de réponse, ce qui signifie que le pair (l'authentificateur) met l'appelant (l'authentifié) au défi de prouver son identité. Le défi comprend un nombre aléatoire et un ID unique généré par l'authentificateur. L'appelant doit utiliser l'ID, le nombre aléatoire et ses informations d'identification de sécurité CHAP pour générer la réponse adéquate (protocole de transfert) à envoyer au pair.

Les informations d'identification de sécurité CHAP incluent un nom d'utilisateur CHAP et un "secret" CHAP. Le secret CHAP est une chaîne arbitraire, connue à la fois de l'appelant et du pair avant qu'ils ne négocient une liaison PPP. Vous pouvez configurer les informations d'identification de sécurité CHAP dans la base de données CHAP, /etc/ppp/chap-secrets.

Fichier /etc/ppp/chap-secrets

La base de données CHAP est mise en oeuvre dans le fichier /etc/ppp/chap-secrets. Les machines de chaque côté de la liaison PPP doivent disposer de leurs informations d'identification CHAP mutuelles dans leurs fichiers /etc/ppp/chap-secrets pour que l'authentification réussisse.

La syntaxe du fichier /etc/ppp/chap-secrets est la suivante.

myclient myserver secret5748 *

Signification des paramètres :

myclient

Nom d'utilisateur CHAP de l'appelant. Ce nom peut être identique au nom d'utilisateur UNIX de l'appelant, ou bien différent.

myserver

Nom de la machine distante, souvent un serveur d'appel entrant.

secret5748

Secret CHAP de l'appelant.

---

Remarque - Contrairement aux mots de passe PAP, les secrets CHAP ne sont jamais envoyés via la liaison. Ils sont plutôt utilisés lorsque les machines locales calculent la réponse.

---

*

Adresse IP associée à l'appelant. L'astérisque (*) représente n'importe quelle adresse IP.

Description de l'authentification CHAP

L'authentification CHAP se déroule dans l'ordre indiqué ci-après.

Figure 8-2 Ordre de l'authentification CHAP

1. Deux pairs sur le point d'initialiser la communication conviennent d'un secret à utiliser pour l'authentification lors de la négociation d'une liaison PPP.

2. Les administrateurs des deux machines ajoutent le secret, les noms d'utilisateur CHAP et d'autres informations d'identification CHAP dans la base de données /etc/ppp/chap-secrets de leur machine respective.

3. L'appelant (l'authentifié) appelle le pair distant (l'authentificateur).

4. L'authentificateur génère un numéro aléatoire et un ID, et envoie ces données à l'authentifié sous forme de défi.

5. L'authentifié recherche le nom et le secret du pair dans sa base de données /etc/ppp/chap-secrets.

6. L'authentifié calcule une réponse en appliquant l'algorithme de calcul MD5 au secret et au défi de numéro aléatoire du pair. Ensuite, l'authentifié envoie pour réponse les résultats à l'authentificateur.

7. L'authentificateur recherche le nom et le secret de l'authentifié dans sa base de données /etc/ppp/chap-secrets,

8. L'authentificateur calcule son propre chiffre en appliquant MD5 au numéro généré en tant que défi et secret pour l'authentifié dans la base de données /etc/ppp/chap-secrets.

9. L'authentificateur compare les résultats avec la réponse de l'appelant. Si les deux valeurs sont identiques, le pair a authentifié l'appelant et la négociation de liaison se poursuit. Dans le cas contraire, la liaison est interrompue.