PPP驗(yàn)證方式，PPP會(huì)話的驗(yàn)證階段是可選的。在鏈路建立完成并選好驗(yàn)證協(xié)議后，雙方便可以開始進(jìn)行驗(yàn)證。若要使用驗(yàn)證，必須在網(wǎng)絡(luò)層協(xié)議配置階段先配置命令以使用驗(yàn)證。
驗(yàn)證選項(xiàng)會(huì)要求鏈路的呼叫端輸入驗(yàn)證信息，以協(xié)助確定使用者擁有網(wǎng)絡(luò)管理員的同意可進(jìn)行此呼叫。雙方路由器交換驗(yàn)證信息。
當(dāng)設(shè)定PPP驗(yàn)證時(shí)，既可以選擇密碼驗(yàn)證協(xié)議（PAP），也可以選擇挑戰(zhàn)式握手驗(yàn)證協(xié)議（CHAP）。一般而言，CHAP通常是首選使用的協(xié)議。
PPP或CHAP驗(yàn)證是一個(gè)雙向的過程。在該過程中，被驗(yàn)證方（如主叫用戶）向驗(yàn)證方（如接入服務(wù)器）不斷發(fā)送一個(gè)身份識(shí)別/密碼對(duì)，直到該驗(yàn)證通過或者連接被拆除。
如圖1所示的流程圖說明了PPP驗(yàn)證的步驟。
圖1 PPP驗(yàn)證步驟
（1）當(dāng)撥號(hào)用戶輸入PPP命令時(shí)，系統(tǒng)會(huì)根據(jù)配置選擇驗(yàn)證方式。如果沒有配置驗(yàn)證，PPP進(jìn)程會(huì)立刻被啟動(dòng)。否則系統(tǒng)會(huì)進(jìn)入下一個(gè)步驟。
（2）系統(tǒng)選定將要使用的驗(yàn)證方式，并進(jìn)行以下兩項(xiàng)工作之一：檢查本地?cái)?shù)據(jù)庫(kù)（用戶名和密碼），以檢查用戶所給出的用戶名和密碼是否與本地?cái)?shù)據(jù)庫(kù)中的用戶名和密碼相匹配（PAP或CHAP方式）；或向安全服務(wù)器發(fā)送一個(gè)驗(yàn)證請(qǐng)求。
（3）系統(tǒng)檢查從安全服務(wù)器和本地?cái)?shù)據(jù)庫(kù)返回的驗(yàn)證響應(yīng)。如果得到的是一個(gè)肯定的答復(fù)，接入方將啟動(dòng)PPP進(jìn)程；反之，接入方會(huì)拒絕用戶的接入請(qǐng)求。
2.密碼驗(yàn)證協(xié)議（PAP）
如圖2所示，PAP提供了一種簡(jiǎn)單的模式，可以讓遠(yuǎn)程站點(diǎn)使用雙向的握手式會(huì)話建立其身份。當(dāng)PPP鏈路建立階段完成后，遠(yuǎn)程站點(diǎn)會(huì)通過鏈路重復(fù)傳送使用者用戶名/密碼對(duì)到路由器上，直到驗(yàn)證完成確認(rèn)或連接終止為止。
圖2 PAP雙向握手驗(yàn)證
PAP并不是功能很強(qiáng)大的驗(yàn)證協(xié)議，并且驗(yàn)證過程也不是很安全。通過鏈路發(fā)出的密碼為明文密碼，如果在線路上設(shè)置一個(gè)協(xié)議分析儀就能看到用戶口令。并且此驗(yàn)證協(xié)議不能提供回放（playback）模仿（通過連接到線路上的捕獲數(shù)據(jù)包的儀器就可以捕獲帶有用戶名和密碼的數(shù)據(jù)包，然后就可以通過回放這個(gè)被捕獲的用戶名和密碼登錄到網(wǎng)絡(luò)上）或遇錯(cuò)重復(fù)嘗試型攻擊的保護(hù)。遠(yuǎn)程站點(diǎn)能控制登入嘗試的頻率和時(shí)間。
如果對(duì)安全接入控制有較高的要求，就應(yīng)該采用下面將要講到的CHAP而不是PAP作為驗(yàn)證方式。只有當(dāng)PAP是遠(yuǎn)程站點(diǎn)唯一支持的驗(yàn)證方式時(shí)，才使用PAP。
當(dāng)PAP用于主機(jī)和接入服務(wù)器之間時(shí)，它是單向驗(yàn)證。而當(dāng)它用于兩個(gè)路由器之間時(shí)，則是一個(gè)雙向驗(yàn)證。
3.挑戰(zhàn)式握手驗(yàn)證協(xié)議（CHAP）
CHAP是用來定期檢驗(yàn)和識(shí)別使用三次握手會(huì)話的遠(yuǎn)程站點(diǎn)，如圖3所示。CHAP在初始鏈路建立時(shí)便已完成，且鏈路完成建立后隨時(shí)可以重復(fù)執(zhí)行。
CHAP可以提供定期檢驗(yàn)以改善安全性等功能，這使得CHAP比PAP更有效率。PAP僅僅檢驗(yàn)一次，這使得它很容易受到黑客和調(diào)制解調(diào)器回放的影響。
此外，PAP允許呼叫方根據(jù)所需進(jìn)行驗(yàn)證（不需先接收挑戰(zhàn)信息），這也使得它容易受到黑客攻擊的影響，因此CHAP并不允許呼叫方在未接收挑戰(zhàn)信息的情況下嘗試驗(yàn)證。
圖3 CHAP三次握手驗(yàn)證協(xié)議
CHAP驗(yàn)證過程步驟如下：
（1）發(fā)起呼叫。
（2）發(fā)送挑戰(zhàn)信息。
（3）處理挑戰(zhàn)信息。
（4）對(duì)挑戰(zhàn)的應(yīng)答。
（5）驗(yàn)證回應(yīng)值。
（6）通過驗(yàn)證或驗(yàn)證失敗。
在PPP鏈路建立階段完成后，接入服務(wù)器會(huì)傳送一個(gè)挑戰(zhàn)信息（一般為隨機(jī)數(shù)）給遠(yuǎn)程站點(diǎn)。
遠(yuǎn)程站點(diǎn)用密碼和單向散列函數(shù)（典型為MD5）對(duì)該挑戰(zhàn)信息進(jìn)行計(jì)算，會(huì)產(chǎn)生一個(gè)回應(yīng)的計(jì)算結(jié)果值返回給接入服務(wù)器。接入服務(wù)器會(huì)將該結(jié)果與根據(jù)它本身按同樣方法計(jì)算出來的結(jié)果值進(jìn)行比較來檢驗(yàn)回應(yīng)。
如果兩個(gè)值相互匹配，則驗(yàn)證便通過確認(rèn)。否則，連接便會(huì)終止。CHAP會(huì)使用唯一和無法預(yù)期的變動(dòng)挑戰(zhàn)值抵擋回放的攻擊。在任一CHAP會(huì)話中，每過兩分鐘還要進(jìn)行重復(fù)挑戰(zhàn)驗(yàn)證過程。
使用重復(fù)挑戰(zhàn)的目的，是為了限制暴露在任何信息單次攻擊的時(shí)間。本地路由器（或協(xié)議廠商的驗(yàn)證服務(wù)器，如Netscape Commerce Server）能控制挑戰(zhàn)的頻率和時(shí)間。
經(jīng)常變換挑戰(zhàn)字符串的一個(gè)主要好處是：其他人不能通過線路監(jiān)聽和回放獲得未經(jīng)驗(yàn)證的網(wǎng)絡(luò)訪問權(quán)。
