2. Аутентификация, авторизация и учёт

Типовая структура корпоративной сети состоит из:

• Вспомогательный (Proxy) основными функциями которого является коммутация трафика между интерфейсами в соответствии со списками доступа администратора;

• Хосты локального и удаленного доступа;

• Серверы:

DHCP для конфигурирования хостов

ААА для аутентификации, авторизации и учета,

e-mail для обработки почтовых сообщений;

DB1 и DB2 для хранения документации группового пользования.

Типовая схема корпоративной сети.

При использовании протокола CHAP proxy-сервер посылает удаленному хосту пользователя некоторое случайное число V, а хост возвращает другое число W, вычисленное по заранее известной функции с использование имени и пароля. Иначе говоря, W=f(V, Name, Password). Предполагается, что злоумышленник в состоянии перехватить пересылаемое по сети значения V, Name и W, и ему известен алгоритм вычисления функции f. Существо формирования W состоит в том, что исходные элементы (биты) случайного числа V различным образом перемешиваются с неизвестными элементами пароля. Полученный текст подвергается сжатию. Такое преобразование называется дайджест функцией или хэш-функцией, а результат – дайджестом.

Proxy-сервер запрашивает у AAA-сервера истинное значение W, пересылая ему значения Name и Challenge=V. Сервер ААА вычисляет W и возвращает его Proxy-серверу. Proxy-сервер сравнивает 2 значения W, полученные от хоста и от ААА-сервера, если они совпадают, то хосту высылается сообщение об успешной аутентификации. После это Proxy-сервер на основании списка управления доступом производит авторизацию, т.е. определяет к каким серверам группового пользования может обращаться пользователь, а эти сервера, в свою очередь, определяют, какие операции он может осуществлять.