चुनौती-प्रतिक्रिया प्रोटोकॉल मैन-इन-द-बीच हमलों के खिलाफ कैसे मदद करता है?

Question

चुनौती-प्रतिक्रिया प्रमाणीकरण मैन-इन-द-बीच हमलों को कैसे रोकता है? मैंने विकी लेख पढ़ा लेकिन फिर भी मैं समझ नहीं पा रहा हूं।

Answer 1

सामान्य रूप से, चुनौती-प्रतिक्रिया प्रणाली जरूरी नहीं है कि हम मनुष्यों के बीच-हमले को रोक दें: यदि ऐलिस बॉब को अपना बैंक खाता संख्या बताने की कोशिश कर रहा है, तो यह प्रोटोकॉल, जो कुछ चुनौती और प्रतिक्रिया को लागू करता है,

Alice: Bob, is that you? // first challenge 
Bob: Yes, Alice, it is me, is that you? // first response, second challenge 
Alice: Yes! Great. My account number is 314159. // second response, and result 

मैलोरी "हाँ" या तो ऐलिस या बॉब के स्थान पर जवाब दे, नकली तीसरे 'परिणाम' संदेश, या में तीसरा संदेश पर सुनने सकता है हो सकता है: टी अखंडता या गोपनीयता प्रदान करते हैं।

यहां तक ​​कि अगर चुनौतियों में सुधार हुआ है, तो कुछ भी इस तरह के लिए: "कृपया हमारे साझा पासवर्ड पर हर्ष 0x31415926 तैयार किया गया है", स्पष्ट (या कमजोर/गरीब सिफर या खराब कुंजी चयन के साथ) में प्रेषित डेटा के नुकसान के अधीन होगा गोपनीयता, और किसी भी संदेश प्रमाणीकरण जांच के बिना प्रेषित डेटा किसी तीसरे पक्ष द्वारा संशोधन के अधीन हो सकता है।

कहाँ चुनौती/प्रतिक्रिया प्रोटोकॉल वास्तव में चमक पुनरावृत्ति हमलों को रोकने में है: ऐलिस सिर्फ बॉब की तर्ज पर एक संदेश भेजता है, तो "मेरा खाता $ 5 से डेबिट और अपने खाते $ 5 क्रेडिट कृपया", मैलोरी संदेश और रिकॉर्ड कर सकते एलिस के खाते को कम करने के लिए संदेश रीप्ले करें।

एक अच्छी चुनौती/प्रतिक्रिया प्रणाली प्रत्येक लेनदेन या सत्र के लिए एक नई चुनौती उत्पन्न करेगी (और सुनिश्चित करें कि पिछली चुनौतियों का पुन: उपयोग नहीं किया गया है!), ताकि नई धोखाधड़ी प्रणाली बनाने के लिए सत्र प्रतिलेखों को एक साथ विभाजित नहीं किया जा सके।

मुझे आशा है कि इससे मदद मिलेगी, लेकिन मुझे डर है कि आपके संदेह कहां से आ रहे हैं, यह सिर्फ शोर होगा।

Answer 2

User sarnold पहले से ही a good answer प्रदान करता है, मैं निम्नलिखित पर ध्यान खींचना चाहता हूं।

चुनौती-प्रतिक्रिया दो समस्याओं को हल करती है - सादे टेक्स्ट में रहस्य भेजना अनावश्यक (हैश-जैसे उत्पाद भेजा जाता है) और रीप्ले हमलों को रोकता है (चूंकि हर बार चुनौतियां बदलती हैं)। यह उससे परे कुछ भी नहीं करता है - यह किसी को भी किसी को भी प्रमाणित नहीं करता है, यह केवल सादा पाठ प्रोटोकॉल का सुधार है जहां ग्राहक अपना उपयोगकर्ता नाम और पासवर्ड भेजता है (गुप्त) और सर्वर यह तय करता है कि वे सही हैं या नहीं ।

तो यदि मध्य में कुछ पार्टी है तो यह उस विशिष्ट सत्र के लिए ग्राहक के रूप में प्रतिरूपण करने से रोकने में मदद नहीं करेगी, फिर भी वह पार्टी गुप्त तक पहुंच नहीं पाएगी, क्योंकि रहस्य कभी नहीं भेजा जाता है सादा पाठ, और वह पार्टी फिर से प्रतिलिपि करके प्रतिरूपण करने में असमर्थ रहेगी - यह केवल उस सत्र के दौरान प्रतिरूपित काम कर सकती है।