PAP(암호 인증 프로토콜)

PAP 인증은 작동 면에서 UNIX login 프로그램과 유사합니다. 그러나 PAP는 사용자에게 셸 액세스 권한을 부여하지 않습니다. PAP는 /etc/ppp/pap-secrets 파일의 형태로 PPP 구성 파일 및 PAP 데이터베이스를 사용하여 인증을 설정합니다. 또한 PAP는 /etc/ppp/pap-secrets를 사용하여 PAP 보안 자격 증명을 정의합니다. 이러한 자격 증명에는 피어 이름, PAP 방식의 “사용자 이름” 및 암호가 포함되어 있습니다. 또한 PAP 자격 증명에는 로컬 시스템에 연결할 수 있는 각 호출자에 대한 관련 정보가 포함되어 있습니다. PAP 사용자 이름 및 암호는 암호 데이터베이스에 있는 UNIX 사용자 이름 및 암호와 같거나 다를 수 있습니다.

/etc/ppp/pap-secrets 파일

PAP 데이터베이스는 /etc/ppp/pap-secrets 파일에 구현됩니다. 인증에 성공하려면 PPP 링크의 양쪽에 있는 시스템의 /etc/ppp/pap-secrets 파일에서 PAP 자격 증명을 제대로 구성해야 합니다. 호출자(피인증자)는 사용되지 않는 +ua 파일이나 /etc/ppp/pap-secrets 파일의 user 및 password 열에서 자격 증명을 제공합니다. 서버(인증자)는 UNIX passwd 데이터베이스를 통해 /etc/ppp/pap-secrets의 정보를 기준으로 이러한 자격 증명을 검증하거나 PAM 기능의 정보를 기준으로 자격 증명을 검증합니다.

/etc/ppp/pap-secrets 파일의 구문은 다음과 같습니다.

myclient ISP-server mypassword *

매개변수의 의미는 다음과 같습니다.

myclient

호출자의 PAP 사용자 이름입니다. 이 이름은 호출자의 UNIX 사용자 이름과 동일한 경우가 많으며, 이는 다이얼 인 서버가 PAP의 login 옵션을 사용하는 경우에 특히 그렇습니다.

ISP-server

원격 시스템(보통 다이얼 인 서버)의 이름입니다.

mypassword

호출자의 PAP 암호입니다.

*

호출자에 연결된 IP 주소입니다. IP 주소를 나타낼 때는 별표(*)를 사용하십시오.

PAP 암호 만들기

PAP 암호는 암호화되지 않은 형식, 즉 읽을 수 있는 ASCII 형식으로 링크를 통해 전송됩니다. 호출자(피인증자)의 경우 PAP 암호를 암호화되지 않은 형식으로 다음 위치 중 하나에 저장해야 합니다.

• /etc/ppp/pap-secrets에

• 다른 외부 파일에

• pap-secrets @ 기능을 통해 명명된 파이프에

• pppd에 대한 옵션으로 명령줄 또는 PPP 구성 파일에

• +ua 파일을 통해

서버(인증자)에서는 다음 중 하나를 수행하여 PAP 암호를 숨길 수 있습니다.

• pap-secrets 파일에서 papcrypt를 지정하고 encrypt 명령으로 해시된 암호 사용

• pppd에 login 옵션을 지정하고, 암호 열에 큰따옴표("")를 추가하여 pap-secrets 파일에서 암호 생략. 이 경우 인증은 UNIX passwd 데이터베이스 또는 PAM 방식을 통해 수행됩니다.

PAP 인증 중 발생하는 작업

PAP 인증은 다음 순서대로 발생합니다.

그림 8-1  PAP 인증 프로세스

1. 호출자(피인증자)가 원격 피어(인증자)를 호출하고 해당 PAP 사용자 이름 및 암호를 링크 협상의 일환으로 제공합니다.

2. 피어가 해당 /etc/ppp/pap-secrets 파일에서 호출자의 ID를 확인합니다. 피어가 PAP의 login 옵션을 사용하는 경우에는 피어가 해당 암호 데이터베이스에서 호출자의 사용자 이름 및 암호를 확인합니다.

3. 인증에 성공하면 피어가 호출자와 링크 협상을 계속합니다. 인증에 실패하면 링크가 삭제됩니다.

4. (옵션) 호출자가 원격 피어의 응답을 인증하는 경우 원격 피어가 자체 PAP 자격 증명을 호출자에게 보내야 합니다. 따라서 원격 피어가 피인증자가 되고 호출자가 인증자가 됩니다.

5. (옵션) 원래 호출자가 자체 /etc/ppp/pap-secrets를 읽어 원격 피어의 ID를 확인합니다.

   ---

   주 - 원래 호출자가 원격 피어로부터 인증 자격 증명을 요구하는 경우에는 1단계와 4단계가 병렬로 발생합니다.

   ---

   피어가 인증되면 협상이 계속됩니다. 그렇지 않으면 링크가 삭제됩니다.

6. 링크가 성공적으로 설정될 때까지 호출자와 피어 간의 협상이 계속됩니다.

/etc/ppp/pap-secrets에 login 옵션 사용

PAP 자격 증명을 인증하기 위한 login 옵션을 모든 PPP 구성 파일에 추가할 수 있습니다. /etc/ppp/options 등에 login을 지정하면 pppd가 호출자의 PAP 자격 증명이 암호 데이터베이스에 있는지 확인합니다. 다음은 login 옵션이 포함된 /etc/ppp/pap-secrets 파일의 형식입니다.

joe    *  ""  *
sally  *  ""  *
sue    *  ""  *

매개변수의 의미는 다음과 같습니다.

호출자

joe, sally 및 sue가 권한이 부여된 호출자의 이름입니다.

서버

별표(*)로, 모든 서버 이름이 유효함을 나타냅니다. PPP 구성 파일에서는 name 옵션이 필요하지 않습니다.

암호

큰따옴표로, 모든 암호가 유효함을 나타냅니다.

이 열에 암호가 있는 경우에는 피어의 암호가 PAP 암호 및 UNIX passwd 데이터베이스 모두와 일치해야 합니다.

IP 주소

별표(*)로, 모든 IP 주소가 허용됨을 나타냅니다.