Mobile Systems III INFORMATIK

38 Neue VPN-Lösungen
2.3.1 Authentifizierung
Man kann die Authentifizierung in zwei verschiedene Klassen unterteilen [2]:
ˆ Die Authentifizierung einer natürlichen Person
Hier wird die Identität einer nicht persönlich anwesenden Person geprüft. Wenn
beispielsweise ein Benutzer auf ein Unternehmensnetzwerk über ein Remote-Access-
VPN Zugriff haben möchte, muss er einem Zugangs-Kontrollsystem nachweisen, dass
er tatsächlich der Berechtigte ist.
ˆ Die Authentifizierung von Übertragungseinheiten eines Netzwerkprotokolls,
um bestimmte Angriffe wie Spoofing oder Man-in-the-Middle abzuwehren
Der Absender (ein VPN-Gateway oder ein Router) eines Pakets soll identifiziert
werden. Diese Authentifizierung lässt sich in 2 Phasen aufbauen. Die erste Phase
ist der Verbindungsaufbau, wobei der Absender und der Empfänger sich gegenseitig
identifizieren. Die zweite Phase ist die Übertragungsphase, hier werden die Pakete
überprüft, ob sie wirklich alle vom selben Absender kommen.
Authentifizierungssysteme und -protokolle
Die folgenden Verfahren und Technologien werden in verschiedenen Authentifizierungssystemen
eingesetzt.
ˆ Password Authentication Protocol (PAP)
PAP ist ein standardisiertes Protokoll für Point-to-Point-(PPP)-Verbindungen. Das
PAP ist ein einfaches Protokoll zum Austausch von Passwörtern. Die User-ID und
das Passwort werden im Klartext zu einem zentralen Server übertragen, deswegen
bietet das PAP-Protokoll nur geringen Schutz.[8]
ˆ Challenge Handshake Authentication Protocol (CHAP)
CHAP ist auch ein standardisiertes Protokoll für PPP-Verbindungen wie PAP und
es ist eine Drei-Phasen-Handshake-Prozedur, in der das Kennwort nicht explizit wie
beim PAP übertragen wird. Dabei überträgt der Server einen zufällig generierten
Schlüssel zum Anwender. Das Passwort des Anwenders wird mit diesem Schlüssel
verschlüsselt und es wird an den Server zurückgesendet. Der Server entschlüsselt
nun das Passwort mit seinem Schlüssel und überprüft es.[9]
ˆ RADIUS
RADIUS (Remote Authentication Dial in User Service ) ist ein Protokoll zur Authentifizierung
von Remote-Nutzern. Es arbeitet mit einer Client-Server-Architektur.
RADIUS stellt Mechanismen zur Benutzeridentifizierung über PAP und CHAP, zur
Zugriffskontrolle über eine eigene RADIUS-Datenbank und zur Verwaltung von dynamischen
IP-Adressen bereit. Die Passwörter werden im Klartext gespeichert, aber
es gibt auch RADIUS-Server, die Passwörter verschlüsseln und wieder entschlüsseln
können.